Pesan WhatsApp dari rekan kerja, teman, atau kontak bisnis yang dikenal dapat menjadi pintu masuk malware apabila akun pengirim telah diretas. Kampanye yang ditemukan Kaspersky GReAT menargetkan pengguna WhatsApp Desktop dan WhatsApp Web melalui lampiran yang menyamar sebagai dokumen rutin.
Risiko utamanya bukan sekadar file mencurigakan, melainkan kemungkinan pelaku memperoleh kendali jarak jauh atas komputer korban. Akses tersebut dapat terbuka setelah penerima menjalankan lampiran yang dikirim dari akun kontak tepercaya.
Lampiran Menjalankan Infeksi Bertahap
File berbahaya dalam kampanye ini berbentuk VBScript yang dapat dieksekusi melalui Windows Script Host. Pelaku menyamarkan nama file agar terlihat seperti dokumen administratif yang lazim muncul dalam komunikasi kerja dan transaksi bisnis.
Saat lampiran dibuka, skrip awal menyiapkan direktori kerja pada C:UsersPublicDocuments. Dari lokasi itu, skrip melanjutkan proses dengan mengambil komponen tambahan dari infrastruktur eksternal.
Tahap berikutnya mengunduh arsip terkompresi yang memuat paket instalasi perangkat lunak pemantauan dan manajemen jarak jauh. Rangkaian berlapis ini memungkinkan aktivitas berbahaya berlangsung melalui beberapa proses, bukan melalui satu pemasangan langsung.
Kaspersky GReAT juga menemukan metadata ekstensif dalam sampel VBScript tersebut. Metadata itu dirancang untuk menyerupai komponen sah Microsoft Windows Update agar aktivitas malware tampak lebih meyakinkan bagi sistem keamanan.
Samaran Dokumen dan Wilayah Sasaran
Pelaku memakai tema yang dekat dengan kebutuhan administrasi untuk mengurangi kecurigaan penerima. Nama lampiran dapat menyerupai faktur, laporan bank, catatan pembayaran, atau pemberitahuan utang.
Peneliti keamanan Kaspersky GReAT, Fareed Radzi, menyatakan pelaku turut menyesuaikan bahasa file untuk menjangkau target lebih luas. “Nama file disamarkan dengan cermat sebagai dokumen bisnis rutin dan dilokalisasi dalam berbagai bahasa untuk mendukung penargetan yang luas,” ujarnya.
| Kategori | Temuan Kampanye |
|---|---|
| Wilayah terdampak | Malaysia, Brasil, Singapura, Taiwan, Vietnam, dan Eropa |
| Korban teridentifikasi terbanyak | Malaysia |
| Bahasa file | Inggris, Portugis, Prancis, Jerman, dan Melayu |
| Samaran lampiran | Faktur, laporan bank, catatan pembayaran, dan pemberitahuan utang |
Kaspersky GReAT mengungkap kampanye tersebut pada Juni 2026. Malaysia tercatat sebagai negara dengan jumlah korban teridentifikasi terbanyak, sementara penyebaran lintas wilayah menunjukkan jangkauan operasi yang luas.
Kontak Dikenal Tidak Selalu Menjamin Keamanan
Modus ini memanfaatkan rasa percaya penerima terhadap pengirim yang sudah tersimpan dalam daftar kontak. Penyerang tidak perlu memakai nomor asing yang umumnya lebih mudah memicu kecurigaan.
Karena itu, lampiran mendadak tetap perlu diverifikasi secara terpisah kepada pengirimnya. Langkah ini penting terutama bila file tidak pernah diminta atau tidak sesuai dengan konteks percakapan sebelumnya.
Pengguna perlu memberi perhatian lebih pada ekstensi .vbs, .vbe, .exe, .bat, .cmd, .js, dan .ps1. File dengan jenis tersebut sebaiknya tidak dibuka tanpa kepastian mengenai asal, tujuan, dan keamanannya.
Perlindungan waktu nyata dari solusi keamanan dapat membantu mendeteksi dan mencegah infeksi sebelum proses berlanjut. Namun, verifikasi lampiran tetap menjadi lapisan penting ketika pelaku memanfaatkan akun WhatsApp yang telah diretas.