Pengantar
Pengguna internet kembali diingatkan terhadap ancaman malware yang tidak hanya mencuri password, tetapi juga dapat mengambil alih sesi login yang sedang aktif.
Salah satu ancaman tersebut adalah JSCeal, malware yang memiliki kemampuan mencuri data dari browser, termasuk cookie sesi dan token autentikasi. Yang membuatnya berbahaya adalah kemampuan menggunakan cookie yang dicuri untuk melakukan session replay, sehingga penyerang dapat mencoba mengakses akun Google korban tanpa harus mengetahui password.
JSCeal telah dianalisis oleh peneliti keamanan dari Check Point Research. Malware ini juga diketahui menyasar pengguna yang tertarik dengan cryptocurrency dan platform trading.
Apa Itu JSCeal?
JSCeal merupakan jenis malware yang termasuk dalam kelompok infostealer, yaitu malware yang dirancang untuk mencuri informasi dari komputer korban.
Informasi yang dapat menjadi target antara lain:
- Password yang tersimpan di browser.
- Cookie.
- OAuth token.
- Informasi profil browser.
- Data cryptocurrency.
- Aktivitas keyboard.
- Screenshot.
JSCeal juga memiliki kemampuan untuk berkomunikasi dengan browser dan memproses data yang berhasil dicuri.
Salah satu hal yang membuat malware ini cukup sulit dianalisis adalah penggunaan compiled V8 JavaScript. Kode malware juga dilindungi dengan berbagai teknik obfuscation sehingga kode aslinya menjadi lebih sulit dipahami oleh peneliti keamanan.
Bagaimana JSCeal Menginfeksi Komputer?
Serangan dapat dimulai dari sesuatu yang terlihat sederhana: iklan di internet.
Penyerang menggunakan teknik yang disebut malvertising, yaitu memanfaatkan iklan online untuk mengarahkan korban ke website berbahaya.
Dalam kampanye yang dianalisis peneliti, korban dapat diarahkan ke website palsu yang terlihat seperti layanan cryptocurrency atau platform trading.
Website tersebut kemudian meminta korban mengunduh aplikasi tertentu.
Masalahnya, aplikasi tersebut bukan aplikasi resmi.
Aplikasi tersebut telah dimodifikasi dan digunakan untuk mengirimkan malware JSCeal ke komputer korban.
Secara sederhana, alurnya dapat digambarkan seperti ini:
Iklan berbahaya → Website palsu → Download aplikasi palsu → Malware dijalankan → Data browser dicuri
Karena tampilan website dan aplikasi dapat dibuat menyerupai layanan asli, korban bisa saja tidak menyadari bahwa dirinya sedang menjadi target serangan.
JSCeal Mengincar Browser
JSCeal tidak hanya mencari file tertentu di komputer.
Malware ini juga memeriksa browser yang terpasang pada perangkat korban.
Peneliti menemukan bahwa JSCeal dapat menargetkan berbagai browser berbasis Chromium, termasuk:
- Google Chrome
- Microsoft Edge
- Brave
- Opera
- Opera GX
- Vivaldi
- Cốc Cốc
- Avast Secure Browser
Malware kemudian mencari profil browser dan mencoba mengambil informasi seperti cookie dan password yang tersimpan.
Hal ini penting karena browser saat ini bukan hanya digunakan untuk membuka website.
Browser juga menyimpan banyak informasi yang berhubungan dengan akun pengguna.
Apa Itu Session Cookie?
Untuk memahami mengapa JSCeal berbahaya, kita perlu memahami istilah session cookie.
Ketika seseorang login ke sebuah website, server biasanya memberikan tanda pengenal kepada browser.
Tanda tersebut kemudian disimpan sebagai cookie.
Selama cookie tersebut masih valid, website dapat mengenali bahwa pengguna sudah melakukan login.
Bayangkan seperti seseorang masuk ke sebuah gedung menggunakan kartu akses.
Password adalah proses untuk mendapatkan kartu tersebut.
Sedangkan session cookie dapat diibaratkan sebagai kartu akses yang sudah aktif.
Jika penyerang berhasil mendapatkan kartu tersebut, mereka mungkin dapat menggunakannya untuk mengakses sistem tanpa mengetahui password asli.
Itulah konsep yang dimanfaatkan JSCeal.
Bagaimana JSCeal Membajak Sesi Google?
Setelah memperoleh cookie dari browser, JSCeal dapat menggunakannya untuk melakukan session replay.
Secara sederhana:
Korban login ke Google → Browser mendapatkan session cookie → JSCeal mencuri cookie → Penyerang menggunakan sesi tersebut → Akun korban dapat diakses tanpa login seperti biasa
The Hacker News melaporkan bahwa JSCeal memiliki kemampuan untuk menggunakan cookie yang dicuri guna merekonstruksi sesi browser dan melakukan serangan session replay terhadap akun Google.
Inilah bagian yang membuat ancaman tersebut sangat serius.
Apakah JSCeal Benar-Benar Membobol 2FA?
Ada hal penting yang perlu diluruskan.
JSCeal bukan berarti berhasil memecahkan teknologi 2FA Google.
Serangan ini memanfaatkan kondisi yang berbeda.
2FA biasanya digunakan ketika pengguna melakukan proses autentikasi.
Misalnya:
Password → kode OTP → login berhasil
Setelah berhasil login, browser mendapatkan sesi yang valid.
Jika session cookie dari sesi tersebut berhasil dicuri, penyerang dapat mencoba menggunakan sesi yang sudah terautentikasi tersebut.
Dengan kata lain, serangan terjadi setelah proses autentikasi berhasil, bukan dengan memecahkan kode 2FA.
Karena itu, penggunaan password kuat dan 2FA tetap sangat penting, tetapi keduanya tidak boleh dianggap sebagai perlindungan mutlak terhadap pencurian sesi.
JSCeal Tidak Berhenti pada Cookie
Kemampuan JSCeal tidak hanya berkaitan dengan session cookie.
Peneliti juga menemukan kemampuan lain seperti:
Mencuri password
Malware dapat mencari credential yang tersimpan pada browser.
Mencuri OAuth token
Token dapat digunakan oleh aplikasi atau layanan untuk mengakses sumber daya tertentu atas nama pengguna.
Keylogging
Malware dapat merekam aktivitas keyboard untuk memperoleh informasi yang diketik korban.
Screenshot
JSCeal juga memiliki kemampuan mengambil screenshot dari perangkat korban.
Dengan kombinasi kemampuan tersebut, JSCeal dapat memberikan banyak informasi kepada penyerang.
Ancaman bagi Pengguna Cryptocurrency
JSCeal juga memiliki perhatian khusus terhadap pengguna cryptocurrency dan platform trading.
Peneliti menemukan komponen yang berkaitan dengan intersepsi dan modifikasi traffic.
Kode yang dianalisis menunjukkan adanya mekanisme proxy, pembuatan sertifikat, serta handler yang ditujukan untuk layanan tertentu seperti Binance, Bybit, dan Ledger.
Artinya, ancaman ini bukan hanya mengenai pencurian akun Google.
Jika korban menggunakan komputer yang sama untuk aktivitas cryptocurrency, informasi dan aktivitas terkait aset digital juga dapat menjadi target.
Mengapa JSCeal Sulit Dianalisis?
JSCeal menggunakan beberapa teknik untuk menyembunyikan cara kerjanya.
Salah satunya adalah obfuscation.
Obfuscation membuat kode program menjadi sulit dibaca manusia.
Peneliti menemukan beberapa teknik, antara lain:
- Nama fungsi dan variabel dibuat tidak jelas.
- String penting disamarkan.
- Alur program dibuat rumit.
- Fungsi sederhana dibungkus dengan fungsi lain.
Selain itu, malware menggunakan compiled V8 JavaScript sehingga analisis malware menjadi semakin sulit.
Namun teknik tersebut bukan berarti membuat malware tidak dapat dianalisis.
Check Point Research mengembangkan metode untuk melakukan deobfuscation secara statis terhadap bytecode tersebut sehingga peneliti dapat memahami cara kerja JSCeal.
Bagaimana Cara Melindungi Diri?
Ada beberapa langkah sederhana yang dapat dilakukan pengguna.
1. Jangan sembarangan mengklik iklan
Iklan yang muncul di Google atau media sosial tidak selalu menjamin bahwa website di belakangnya aman.
Berhati-hatilah terutama ketika iklan meminta Anda mengunduh software.
2. Download software dari sumber resmi
Jika ingin menginstal aplikasi, buka website resminya secara langsung.
Jangan mengandalkan link download dari iklan atau website yang tidak dikenal.
3. Jangan mudah percaya dengan website yang terlihat resmi
Penyerang dapat membuat website dengan logo, warna, dan desain yang sangat mirip dengan website asli.
Periksa alamat domain sebelum mengunduh aplikasi atau memasukkan informasi login.
4. Gunakan antivirus atau EDR
Pada komputer perusahaan, penggunaan solusi endpoint security dapat membantu mendeteksi aktivitas mencurigakan.
Aktivitas seperti PowerShell atau Node.js yang berjalan secara tidak biasa juga dapat menjadi indikator yang perlu diperiksa.
5. Aktifkan 2FA
Walaupun 2FA bukan perlindungan sempurna terhadap pencurian sesi, fitur ini tetap sangat penting untuk mengurangi risiko pengambilalihan akun.
Untuk akun yang sangat penting, penggunaan security key juga dapat menjadi lapisan perlindungan tambahan.
6. Periksa aktivitas akun secara berkala
Perhatikan perangkat, lokasi, dan sesi login yang tidak dikenal.
Jika menemukan aktivitas mencurigakan, segera lakukan tindakan seperti mengganti password dan mencabut sesi atau token yang tidak dikenal.
Bagaimana Jika Komputer Diduga Terinfeksi?
Jika Anda mencurigai komputer telah terinfeksi malware seperti JSCeal, jangan hanya mengganti password dari komputer tersebut.
Langkah yang lebih aman adalah:
- Putuskan komputer dari jaringan.
- Gunakan perangkat yang dipercaya untuk mengganti password.
- Cabut sesi login yang tidak dikenal.
- Periksa OAuth token dan akses aplikasi.
- Jalankan pemeriksaan keamanan pada komputer.
- Periksa aktivitas akun.
- Jika komputer digunakan untuk cryptocurrency, periksa aktivitas akun dan transaksi dengan lebih hati-hati.
Hal ini penting karena jika malware masih aktif, password baru yang dimasukkan melalui komputer yang terinfeksi juga berpotensi dicuri.
Kesimpulan
JSCeal menunjukkan bahwa ancaman terhadap akun online tidak selalu datang dari pencurian password.
Saat ini, session cookie juga menjadi target penting bagi malware.
Dengan mencuri cookie dari browser, JSCeal dapat mencoba menggunakan kembali sesi yang sudah terautentikasi untuk mendapatkan akses ke akun Google korban.
Jadi, jangan berpikir bahwa menggunakan password kuat dan 2FA berarti kita sepenuhnya aman.
Keamanan akun juga bergantung pada keamanan perangkat dan browser yang digunakan.
Hal sederhana seperti tidak sembarangan mengunduh software, berhati-hati terhadap iklan, menggunakan sumber resmi, memperbarui sistem, dan memantau aktivitas akun dapat membantu mengurangi risiko menjadi korban malware seperti JSCeal.
Pada akhirnya, keamanan digital bukan hanya soal menjaga password, tetapi juga menjaga perangkat, browser, session, dan seluruh aktivitas digital kita.
