DOUBLECUP Manfaatkan Cache Browser untuk Menyembunyikan Malware dalam Gambar PNG

Sebuah layanan loader-as-a-service (LaaS) baru bernama DOUBLECUP ditemukan memanfaatkan teknik ClickFix untuk menyembunyikan malware di dalam gambar PNG yang tersimpan pada cache browser korban. Metode ini memungkinkan pelaku mengirimkan malware ke perangkat Windows maupun macOS tanpa menimbulkan kecurigaan, termasuk varian terbaru CountLoader dan sebuah Remote Access Trojan (RAT) baru bernama DeviceManager.

Peneliti keamanan mengungkapkan bahwa DOUBLECUP mulai beroperasi sejak awal Juni 2026 dan menawarkan lisensi kepada pelanggannya beserta aplikasi berbasis Go untuk Windows yang digunakan dalam membangun kampanye serangan.

DOUBLECUP Menyediakan Infrastruktur Serangan

Layanan DOUBLECUP tidak hanya menyediakan alat untuk membuat kampanye, tetapi juga menangani sebagian besar infrastruktur yang dibutuhkan pelaku, seperti:

• Hosting gambar PNG yang telah disisipi payload menggunakan teknik steganografi.
• Pengelolaan endpoint sesi dan sinyal.
• Penyediaan kunci enkripsi.
• Pembuatan ulang payload secara otomatis agar lebih sulit dideteksi.

Sementara itu, pelanggan hanya perlu menyiapkan situs web yang akan menampilkan halaman ClickFix, memasukkan kode yang dihasilkan DOUBLECUP, serta menambahkan teknik penyamaran tambahan apabila diperlukan.

Dalam proses investigasi, peneliti menemukan direktori terbuka pada sebuah server yang berisi berkas pengujian. Alamat IP yang sama kemudian diketahui juga digunakan sebagai panel lisensi layanan DOUBLECUP.

Serangan Dimulai dari CAPTCHA Palsu

Untuk menjalankan kampanye, operator menggunakan aplikasi DOUBLECUP guna menentukan berbagai parameter, seperti domain, jalur URL, metode steganografi, lokasi payload, hingga aksi yang akan dijalankan.

Setelah konfigurasi selesai, sistem menghasilkan endpoint API yang berisi informasi mengenai lokasi gambar PNG, ukuran file, endpoint sesi, serta perintah khusus untuk berbagai browser seperti Google Chrome, Microsoft Edge, Mozilla Firefox, Brave, dan Opera.

Kode tersebut kemudian ditambahkan ke halaman ClickFix. Saat korban membuka situs, halaman akan:

• Mengambil konfigurasi serangan.
• Mengunduh gambar PNG berbahaya ke cache browser.
• Mendaftarkan sesi korban.
• Mendeteksi browser yang digunakan.
• Menyalin perintah berbahaya secara otomatis ke clipboard.

Dalam kampanye yang diamati, halaman login palsu meniru layanan populer seperti NetSuite, Odoo, HubSpot, dan Salesforce, lengkap dengan CAPTCHA palsu yang meminta pengguna menjalankan perintah tertentu.

Malware Disembunyikan di Cache Browser

Ketika korban mengikuti instruksi CAPTCHA palsu dan menjalankan perintah yang telah disalin ke clipboard, sistem akan mencari file PNG berdasarkan ukuran file yang telah ditentukan sebelumnya.

Perintah tersebut memanfaatkan utilitas bawaan Windows seperti findstr atau certutil untuk mengekstrak payload tersembunyi dari dalam gambar PNG.

Payload tahap pertama kemudian menjalankan dropper tanpa membuat file tambahan di disk. Dropper ini mengambil alamat IPv4 publik korban dan menggunakannya sebagai bagian dari proses pembentukan kunci dekripsi untuk payload utama yang telah dienkripsi.

Sebelum dijalankan, payload yang berhasil didekripsi diverifikasi menggunakan nilai SHA-256 yang telah ditanamkan dalam kode untuk memastikan integritasnya.

CountLoader Kini Menargetkan Windows dan macOS

Salah satu malware yang didistribusikan melalui DOUBLECUP adalah versi terbaru CountLoader yang kini mendukung sistem operasi Windows maupun macOS.

Pada perangkat Windows, malware ini mampu:

• Mengumpulkan informasi sistem.
• Memeriksa keberadaan aplikasi dompet cryptocurrency.
• Mendeteksi ekstensi browser terkait aset digital.
• Memastikan apakah Signal Desktop telah terpasang.
• Membuat persistence melalui Scheduled Tasks.
• Mengunduh dan menjalankan file tambahan seperti MSI, modul PowerShell, maupun DLL.

Sementara itu, versi macOS telah dikompilasi untuk prosesor Intel maupun Apple Silicon. Malware tersebut memasang LaunchAgent agar tetap aktif setelah sistem dinyalakan kembali dan memanfaatkan utilitas bawaan seperti curl, sw_vers, system_profiler, serta ioreg untuk berkomunikasi dengan server milik penyerang.

DeviceManager RAT Gunakan Blockchain untuk Menyembunyikan Server

Selain CountLoader, DOUBLECUP juga mengirimkan malware baru bernama DeviceManager, sebuah RAT modular berbasis Python untuk Windows.

Keunikan malware ini adalah penggunaan teknik EtherHiding, yaitu memanfaatkan smart contract pada jaringan Ethereum maupun Polygon untuk memperoleh alamat server command-and-control (C2). Pendekatan ini membuat infrastruktur penyerang jauh lebih sulit dilacak maupun diblokir.

Pada perangkat yang berada di luar negara-negara CIS (Commonwealth of Independent States), DeviceManager mengumpulkan berbagai informasi sistem, termasuk:

• Machine GUID.
• Identitas disk.
• User SID.
• Hostname.
• Username.
• Versi sistem operasi.
• Arsitektur perangkat.
• Antivirus yang terpasang.
• Informasi domain.

Selain itu, malware memanfaatkan DNS record bertipe A dan TXT untuk mengirim data sistem, menerima perintah baru, mengunduh payload tambahan, hingga mengirimkan hasil eksekusi kembali kepada pelaku.

Teknik Steganografi Semakin Sering Dimanfaatkan

Pemanfaatan steganografi dalam serangan ClickFix bukanlah hal baru. Teknik ini memungkinkan malware disembunyikan di dalam data gambar sehingga terlihat seperti file PNG biasa bagi pengguna maupun sebagian solusi keamanan.

Dengan memanfaatkan cache browser sebagai media penyimpanan sementara, pelaku dapat mengurangi jejak aktivitas di sistem korban sekaligus meningkatkan peluang lolos dari deteksi antivirus tradisional. Temuan terbaru ini menunjukkan bahwa teknik penyembunyian malware terus berkembang dan kini dipadukan dengan metode distribusi yang semakin kompleks.

Sumber: SOCRadar