ItWorks.id – Tim Riset dan Analisis Global (GReAT) Kaspersky menemukan serangan yang menyasar versi kustom Windows 10 yang digunakan secara eksklusif oleh organisasi pemerintahan di sebuah negara Asia.
Para penyerang menggunakan komponen perangkat lunak sah untuk meluncurkan NetamLoader, sebuah kerangka kerja (framework) malware yang sebelumnya tidak diketahui, yang mampu menerima dan menjalankan kode tambahan sembari menyembunyikan aktivitasnya.
Kaspersky mengidentifikasi satu korban melalui jaringan pemantauan ancaman miliknya dan belum dapat mengaitkan serangan ini dengan kelompok ancaman mana pun yang sudah dikenal. Malware ini dirancang khusus untuk sistem operasi tersebut; salah satu tindakannya adalah menghapus entri tertentu dari log komponen pembaruan sistem itu sendiri.
Investigasi dimulai pada paruh pertama tahun 2026, ketika Kaspersky mendeteksi berkas konfigurasi mencurigakan di dalam sebuah arsip yang tersimpan di folder pembaruan Windows. Sebagian besar program pendampingnya merupakan perangkat lunak yang sah, termasuk komponen dari alat manajemen patch pihak ketiga, Patch My PC, serta modul yang ditandatangani oleh Microsoft.
Para penyerang menggunakan berkas pendukung yang telah dimodifikasi agar perangkat lunak asli tersebut memuat instruksi berbahaya. Lokasi dan isi arsip tersebut mengarah pada kemungkinan adanya serangan rantai pasok perangkat lunak (software supply chain attack), di mana penyerang menyalahgunakan proses pengiriman atau pembaruan perangkat lunak untuk mencapai target mereka. Para peneliti tidak mengamati bagaimana arsip tersebut sampai ke tangan korban, dan temuan ini tidak menunjukkan bahwa Patch My PC atau sistem distribusinya telah disusupi.
NetamLoader membuka konten berbahayanya melalui beberapa lapisan penyandian (encoding), kompresi, dan enkripsi. Malware ini kemudian mengalihkan eksekusi ke dalam proses Windows yang sah, sehingga hubungan dengan program aslinya menjadi lebih sulit dilacak. Kerangka kerja ini juga mengganggu fungsi pemindaian anti-malware dan menghapus berkas-berkas yang dapat membantu penyelidik merekonstruksi serangan tersebut.
Setelah aktif, NetamLoader akan menghubungi server yang dikendalikan oleh penyerang untuk menerima instruksi lebih lanjut dan perubahan konfigurasi. Konfigurasi yang dianalisis oleh para peneliti mencakup jeda waktu 20 hingga 40 menit sebelum koneksi pertama dilakukan. Jika server tidak memberikan respons yang valid, malware akan menunggu selama 22 hingga 28 jam sebelum mencoba kembali. Jeda waktu ini dapat menyebabkan sesi pemantauan yang singkat hanya menunjukkan sedikit aktivitas jaringan untuk diperiksa.
“Kedaulatan teknologi telah menjadi prioritas bagi banyak pemerintah, dan sistem operasi sering kali menjadi titik awal dari upaya tersebut. Mengelola platform sendiri memang memberikan kendali, namun hal ini juga menuntut pengamanan seluruh ekosistem di sekelilingnya—mulai dari saluran pembaruan hingga perangkat pemeliharaan yang digunakan—dan ekosistem semacam itu memerlukan waktu untuk dapat berfungsi secara matang. Kasus ini menunjukkan mengapa pihak pertahanan perlu mencermati bagaimana berbagai komponen saling berinteraksi, bukan sekadar memastikan apakah setiap program merupakan perangkat yang sah,” ujar Sergey Lozhkin, Kepala Pusat Penelitian GReAT Kaspersky untuk wilayah Asia Pasifik & Timur tengah dan Afrika.
Produk Kaspersky mendeteksi ancaman ini sebagai HEUR:Trojan.MSIL.NetamLoader.gen, Trojan.MSIL.Zapchast., dan Trojan.Script.Agent.. Laporan teknis lengkap, termasuk indikator kompromi, tersedia di Securelist.
