Phishing Mengatasnamakan Audit Keamanan COLDCARD Sebarkan Remote Access Tool ke Pengguna

Sebuah kampanye phishing baru memanfaatkan kekhawatiran pengguna terhadap kerentanan yang baru-baru ini ditemukan pada dompet kripto COLDCARD untuk menyebarkan ScreenConnect, perangkat lunak remote access yang dapat memberikan kendali penuh atas komputer korban.

Kampanye ini ditemukan oleh perusahaan keamanan siber Proofpoint dan muncul tidak lama setelah insiden pencurian sekitar 1.367 Bitcoin senilai kurang lebih US$88,6 juta dari 4.585 alamat Bitcoin. Insiden tersebut diduga berkaitan dengan kelemahan pada mekanisme pembangkit angka acak (random number generation) yang memengaruhi beberapa model dan versi firmware COLDCARD.

Mengaku Sebagai Audit Keamanan Resmi

Pelaku mengirimkan email phishing menggunakan alamat [email protected] dengan subjek “Hardware audit now available”.

Dalam email tersebut, korban diberitahu bahwa COLDCARD sedang melakukan audit keamanan terhadap seluruh perangkat hardware wallet dan meminta pengguna berpartisipasi untuk memverifikasi integritas perangkat mereka.

Pelaku juga mengklaim bahwa proses audit:

• Berjalan secara air-gapped.
• Tidak akan meminta recovery seed.
• Harus diselesaikan sebelum 10 Agustus.

Pesan tersebut dirancang agar terlihat resmi sehingga meningkatkan kemungkinan korban mengikuti instruksi yang diberikan.

Situs Phishing Meniru Halaman Resmi COLDCARD

Saat korban menekan tombol “Access the Audit Tool”, mereka akan diarahkan ke situs coldcardcompliance.com yang dibuat menyerupai halaman resmi COLDCARD.

Di dalamnya terdapat tombol “Start Hardware Audit” yang diklaim akan mengunduh alat verifikasi keamanan.

Situs tersebut juga menyediakan fitur Customer Service berbentuk live chat yang digunakan untuk meyakinkan korban apabila muncul keraguan selama proses instalasi.

Menurut Proofpoint, percakapan dalam fitur chat kemungkinan besar ditangani langsung oleh manusia, bukan chatbot otomatis. Operator akan menanyakan apakah korban menggunakan Windows atau macOS, kemudian memberikan panduan instalasi sesuai sistem operasi yang digunakan.

Bahkan ketika korban melihat jendela Command Prompt berwarna hitam atau menerima permintaan hak administrator (UAC), operator akan menjelaskan bahwa hal tersebut merupakan bagian normal dari proses audit dan meminta korban menekan tombol “Yes”.

Batch File Menyamar sebagai Alat Diagnostik

Investigasi menunjukkan bahwa tombol “Start Hardware Audit” sebenarnya mengunduh file batch bernama Coldcard_Diagnostic_Tool.bat dari sebuah akun GitHub.

Analisis terhadap file tersebut menemukan bahwa di dalamnya terdapat dua file yang telah dikodekan menggunakan Base64.

Saat dijalankan, skrip akan berpura-pura melakukan pemeriksaan perangkat. Namun di balik layar, skrip terlebih dahulu memeriksa apakah pengguna memiliki hak administrator.

Jika belum, skrip akan menggunakan PowerShell untuk meminta hak administrator melalui User Account Control (UAC).

Selanjutnya, dua file yang tersembunyi akan diekstrak ke folder sementara Windows dengan nama:

• setup.msi
• docusign.exe

Kedua file tersebut kemudian didekode menggunakan utilitas bawaan Windows certutil.

ScreenConnect Dipasang Secara Diam-Diam

File docusign.exe ternyata merupakan aplikasi resmi yang telah ditandatangani secara digital dan berfungsi memasang driver printer DocuSign. Aplikasi ini hanya digunakan sebagai pengalih perhatian agar proses instalasi tampak sah.

Sementara itu, file setup.msi merupakan installer ConnectWise ScreenConnect, sebuah perangkat lunak remote management yang mampu memberikan akses jarak jauh ke komputer korban.

Setelah berhasil dipasang, ScreenConnect akan terhubung ke server command-and-control milik pelaku sehingga memungkinkan mereka memperoleh kendali penuh atas sistem yang telah terinfeksi.

Dengan akses tersebut, pelaku dapat:

• Mencuri data penting.
• Mengambil aset mata uang kripto.
• Memasang malware tambahan.
• Menjalankan serangan ransomware.

Waspadai Email yang Mengatasnamakan Audit Keamanan

Proofpoint mengingatkan agar pengguna hardware wallet selalu memverifikasi setiap pemberitahuan keamanan melalui kanal resmi vendor dan tidak mengunduh alat diagnostik dari tautan yang dikirim melalui email.

Pengguna juga disarankan untuk tidak memberikan hak administrator kepada aplikasi yang tidak jelas asal-usulnya serta memastikan perangkat keamanan endpoint selalu aktif untuk mendeteksi aktivitas mencurigakan sebelum perangkat lunak berbahaya berhasil dijalankan.

Sumber: Proofpoint