Peretas Manfaatkan Banner Server FTP untuk Menyebarkan Malware Windows Terbaru
Aktor ancaman siber kini menggunakan taktik baru yang tidak biasa, yaitu mengeksploitasi banner server FTP untuk menyembunyikan perintah berbahaya. Teknik ini secara khusus dirancang untuk menyebarkan dua Remote Access Trojan (RAT) yang sebelumnya belum teridentifikasi, yakni E4del dan PINHOLE.
Metode ini pertama kali diamati pada awal Juli lalu, dalam sebuah serangan yang memanfaatkan file shortcut (.LNK) dan banner server FTP sebagai dead-drop resolvers (DDR) guna mengambil perintah eksekusi. Banner FTP sendiri merupakan string teks yang digunakan oleh server sebagai pesan sambutan bagi host yang terhubung sebelum mereka melakukan proses otentikasi.
Rantai Infeksi dan Mekanisme Eksploitasi
Dengan menyematkan perintah pada respons awal yang dikirim saat sistem terinfeksi terhubung ke server FTP, malware stager dapat menerima instruksi langsung dari server jarak jauh. Melalui pemantauan jaringan secara mendalam, pakar intelijen ancaman siber menemukan bahwa teknik ini telah dipersenjatai sejak awal Juli 2026 dan infrastruktur barunya masih terpantau beroperasi secara aktif hingga saat ini.
Rantai infeksi bermula dari distribusi arsip ZIP yang memicu eksekusi file LNK, di mana kompromi awal diyakini terjadi melalui kampanye phishing. Rantai tersebut kemudian membuka dua jalur berbeda untuk mengirimkan RAT E4del dan PINHOLE, yang keduanya bertugas mengambil skrip PowerShell dari banner FTP.
Karakteristik E4del dan PINHOLE
E4del merupakan RAT berbasis Node.js yang disusupkan di dalam aplikasi Electron yang ditandatangani secara digital, sengaja dibuat menyerupai aplikasi Discord. RAT ini mendukung eksekusi perintah melalui shell persisten maupun sementara, perekaman layar, streaming desktop melalui WebSockets, hingga pengunduhan payload tambahan. Terdapat pula modul Node.js yang dirancang khusus untuk melakukan eskalasi hak istimewa di dalam sistem korban.
Di sisi lain, PINHOLE memiliki cara unik dengan mengambil konfigurasi Command and Control (C2) dari platform visual serta situs survei daring populer. Taktik ini memberikan fleksibilitas tinggi sekaligus ketahanan terhadap upaya pemblokiran infrastruktur.
Malware ini meninggalkan jejak yang sangat minim pada host. PINHOLE menggunakan teknik shellcode fluctuation untuk memastikan hanya satu bagian payload sebesar 4KB yang dieksekusi di memori pada satu waktu. Selanjutnya, malware akan menyuntikkan assembly akhirnya ke dalam proses ApplicationFrameHost.exe yang ditangguhkan melalui metode Early Bird APC injection.
PINHOLE dilengkapi dengan 14 perintah operasional, termasuk enumerasi file, transfer data, eksekusi perintah sistem, manajemen proses, hingga penerapan modul khusus untuk mencuri kredensial yang tersimpan di dalam peramban web.
Berdasarkan data pelacakan, skrip PINHOLE baru mencatatkan belasan peristiwa eksekusi, yang mengindikasikan bahwa kampanye jahat ini masih berada pada tahap awal. Meskipun eksploitasi banner FTP merupakan alternatif yang inovatif bagi peretas, pendekatan ini dinilai kurang stealthy dibandingkan DDR berbasis web konvensional. Koneksi FTP ke server yang tidak dikenal biasanya lebih mencurigakan dan berpotensi memicu alarm pada perangkat keamanan jaringan. Namun, pakar keamanan memperingatkan bahwa teknik ini sangat serbaguna dan dapat dengan mudah diadaptasi untuk skema rekayasa sosial yang lebih canggih di masa depan.
Sumber: Laporan Analisis Ancaman Siber
