TerminalFix: Serangan Malware Baru Menyasar Windows Terminal, Ketahui Cara Mengenali dan Menghindarinya

LIPUTANHARIAN.CO.ID — Microsoft melalui tim keamanannya merilis peringatan tentang kampanye siber aktif bernama "TerminalFix". Modusnya menyalahgunakan sejumlah situs web yang telah disusupi. Situs-situs ini menampilkan overlay palsu yang mengkamuflasekan verifikasi CAPTCHA Cloudflare, dan memaksa pengunjung untuk menyalin serta menjalankan perintah PowerShell berbahaya di Windows Terminal atau PowerShell.

Mengapa Perintah Itu Berbahaya?

Ancaman ini merupakan variasi dari serangan "ClickFix" yang sudah beredar sebelumnya. ClickFix klasik mengarahkan korban ke kotak dialog Run, sementara TerminalFix langsung mengeksekusi perintah di Windows Terminal. Metode ini meningkatkan peluang keberhasilan skrip multi-baris yang kompleks, sebagaimana dijelaskan para peneliti Microsoft.

Setelah perintah dijalankan, perangkat korban akan mengunduh dua file: satu file biner legal dan satu file DLL jahat. File DLL ini kemudian di-sideload oleh file biner tersebut untuk memicu muatan berbahaya bernama "client.py". Implan Python ini lantas membangun koneksi WebSocket terenkripsi ke server penyerang.

Apa yang Dilakukan Malware?

Implan ini memberi penyerang akses jarak jauh tipe proxy SOCKS5 ke jaringan internal perangkat korban. Dengan akses tersebut, penyerang dapat melakukan sejumlah aksi berbahaya. Mereka bisa menyelidiki pengendali domain di jaringan, mengeksekusi perintah lain, dan mempertahankan akses meski perangkat sudah di-restart. Yang paling mengkhawatirkan, mereka dapat menjadikan perangkat korban sebagai titik pangkal untuk melompat ke perangkat lain di jaringan yang sama (lateral movement).

"Jenis intrusi ini sangat berbahaya karena memberikan akses langsung ke jaringan internal organisasi melalui terowongan terbalik," tulis para peneliti. "Kemampuan pengintaian dan terowongan terbalik yang teramati bisa memungkinkan penyerang mengidentifikasi dan menjangkau sistem tambahan dari host yang disusupi."

Siapa Target Utama?

Meski tekniknya terlihat teknis, korbannya tidak harus pengguna ahli. Siapa pun yang mengunjungi situs yang sudah disusupi dan mengikuti instruksi CAPTCHA palsu bisa menjadi korban. Risiko terbesar justru menimpa pengguna perangkat Windows untuk keperluan kerja, karena akses yang didapat penyerang bisa mengarah ke data perusahaan.

Hingga saat ini, peneliti belum mengamati aktivitas pergerakan lateral yang berhasil dilakukan. Namun, mereka menegaskan potensi penyalahgunaan akses ini sangat besar. "Organisasi harus memperlakukan perangkat yang terdampak sebagai titik pivot jaringan yang potensial dan menyelidiki pergerakan lateral serta paparan kredensial," tulis Microsoft.

Langkah Antisipasi untuk Pengguna Indonesia

Jangan pernah menyalin perintah dari jendela pop-up atau situs yang tidak dikenal, terutama yang meminta verifikasi keamanan dengan cara tidak umum. CAPTCHA asli tidak akan meminta Anda menyalin perintah ke aplikasi lain.

Periksa kembali alamat situs. Situs kredibel yang disusupi biasanya dimanfaatkan penyerang dalam waktu singkat. Jika ragu, ketik langsung alamat situs di browser daripada mengikuti tautan dari email atau pesan.

Aktifkan verifikasi dua langkah untuk akun penting dan pastikan perangkat lunak keamanan selalu diperbarui. Deteksi dini terhadap file berbahaya berperan krusial dalam mencegah infeksi lebih lanjut.

Pengguna di Indonesia yang mencurigai perangkatnya terinfeksi sebaiknya segera memutuskan koneksi jaringan. Langkah berikutnya, jalankan pemindaian antivirus menyeluruh, dan ganti semua kata sandi akun dari perangkat yang bersih. Tindakan cepat ini mencegah penyerang memperluas aksesnya ke data pribadi maupun jaringan kantor.