Pesan WhatsApp dari rekan kerja, teman, atau mitra bisnis dapat menjadi pintu masuk malware ketika akun pengirim telah diretas. Kampanye yang ditemukan Kaspersky GReAT memanfaatkan kepercayaan penerima untuk mendorong pembukaan lampiran berbahaya.
Risiko utamanya tidak berhenti pada dokumen palsu yang terbuka di komputer. File tersebut dapat memulai rangkaian infeksi bertahap yang berujung pada akses kendali jarak jauh ke perangkat korban.
Akun Dikenal Dipakai untuk Mengelabui Korban
Pelaku tidak perlu memakai nomor asing yang biasanya lebih mudah dicurigai pengguna. Mereka mengirim file melalui akun kontak yang sebelumnya telah diambil alih, sehingga pesan tampak berasal dari orang yang dikenal.
Sasaran kampanye ini adalah pengguna WhatsApp Desktop dan WhatsApp Web. Pola tersebut membuat verifikasi konteks percakapan menjadi penting, terutama saat lampiran datang tanpa permintaan atau penjelasan yang jelas.
Tim Riset dan Analisis Global Kaspersky, atau Kaspersky GReAT, mengungkap kampanye tersebut pada Juni 2026. Riset itu menunjukkan bahwa serangan dirancang untuk membawa korban menuju pemasangan perangkat pemantauan dan manajemen jarak jauh.
Lampiran Menyamar sebagai Dokumen Rutin
File berbahaya dalam kampanye ini berbentuk VBScript yang dapat dijalankan oleh Windows Script Host. Agar tidak tampak mencurigakan, nama lampiran dibuat menyerupai berkas administratif yang umum ditemukan dalam urusan bisnis.
Umpan yang digunakan mencakup faktur, laporan bank, catatan pembayaran, dan pemberitahuan utang. Tema tersebut dipilih karena dapat terlihat relevan bagi penerima yang terbiasa bertukar dokumen melalui percakapan kerja atau transaksi.
Peneliti keamanan Kaspersky GReAT, Fareed Radzi, menyatakan pelaku memperluas jangkauan target melalui penyesuaian bahasa. “Nama file disamarkan dengan cermat sebagai dokumen bisnis rutin dan dilokalisasi dalam berbagai bahasa untuk mendukung penargetan yang luas,” ujarnya.
| Kategori | Temuan Kampanye |
|---|---|
| Wilayah terdampak | Malaysia, Brasil, Singapura, Taiwan, Vietnam, dan Eropa |
| Wilayah dengan korban terbanyak | Malaysia |
| Bahasa yang digunakan | Inggris, Portugis, Prancis, Jerman, dan Melayu |
| Samaran lampiran | Faktur, laporan bank, catatan pembayaran, dan pemberitahuan utang |
Malaysia menjadi negara dengan jumlah korban teridentifikasi paling banyak dalam temuan tersebut. Persebaran lintas wilayah dan penggunaan beberapa bahasa menunjukkan kampanye ini ditujukan kepada target yang luas.
Rangkaian Infeksi Tidak Berhenti pada File Pertama
Saat lampiran dijalankan, skrip awal lebih dulu menyiapkan direktori kerja di folder dokumen publik sistem. Tahap itu dipakai untuk menjalankan proses berikutnya, bukan langsung memasang perangkat kendali jarak jauh.
Skrip kemudian mengambil file tambahan dari infrastruktur eksternal dengan memanfaatkan Windows Script Host. Tahap lanjutan mengunduh arsip terkompresi yang berisi paket instalasi perangkat lunak pemantauan dan manajemen jarak jauh.
Kaspersky juga menemukan metadata ekstensif dalam sampel VBScript tersebut. Metadata itu dirancang menyerupai komponen sah Microsoft Windows Update agar aktivitas berbahaya tampak lebih meyakinkan bagi sistem keamanan.
Ekstensi yang Perlu Diperiksa Sebelum Dibuka
Pengguna perlu memberi perhatian khusus pada ekstensi seperti .vbs, .vbe, .exe, .bat, .cmd, .js, dan .ps1. Jenis file itu sebaiknya tidak dijalankan sebelum asal, tujuan, dan keamanannya dipastikan.
Verifikasi kepada pengirim melalui saluran terpisah dapat membantu memastikan apakah lampiran benar-benar dikirim oleh kontak tersebut. Langkah ini penting karena akun yang diretas dapat digunakan untuk menyebarkan malware WhatsApp tanpa menimbulkan kecurigaan awal.
Solusi keamanan dengan perlindungan waktu nyata dapat membantu mendeteksi dan menghentikan infeksi sebelum proses berlanjut. Namun, kewaspadaan terhadap lampiran tak terduga tetap menjadi lapisan perlindungan penting bagi pengguna WhatsApp Desktop dan WhatsApp Web.
