Ancaman Siber Baru: Microsoft Ungkap Kampanye "ClickFix" yang Memanfaatkan Windows Terminal untuk Menyebarkan Lumma Stealer
Baca dalam 60 detik
- Microsoft mendeteksi kampanye serangan ClickFix yang menipu pengguna Windows untuk menjalankan kode berbahaya melalui Windows Terminal.
- Serangan ini menginstruksikan pengguna untuk menekan pintasan Windows + X -> I dengan menyamar sebagai proses verifikasi CAPTCHA atau pemecahan masalah.
- Tujuannya adalah untuk mendistribusikan Lumma Stealer yang mencuri data login dari peramban Chrome dan Edge, sambil menghindari sistem deteksi keamanan tradisional.
Ancaman Siber Baru: Microsoft Ungkap Kampanye "ClickFix" yang Memanfaatkan Windows Terminal untuk Menyebarkan Lumma Stealer
Tim Threat Intelligence Microsoft baru-baru ini mengungkap rincian kampanye rekayasa sosial (social engineering) berskala luas yang dikenal sebagai "ClickFix". Berbeda dari metode konvensional, serangan yang terpantau masif pada Februari 2026 ini mengeksploitasi aplikasi Windows Terminal untuk mengelabui pengguna agar menjalankan rantai serangan kompleks yang berujung pada penyebaran malware pencuri data, Lumma Stealer.
Alih-alih meminta korban membuka kotak dialog "Run" yang kini sering dipantau secara ketat oleh perangkat lunak keamanan, pelaku kejahatan mengarahkan target untuk menggunakan pintasan keyboard (Windows + X lalu I). Kombinasi ini membuka Windows Terminal secara langsung. Taktik ini disamarkan sebagai halaman CAPTCHA palsu, panduan pemecahan masalah, atau perintah verifikasi. Penggunaan antarmuka terminal administratif yang sah ini dirancang agar alur kerja terlihat aman dan dapat dipercaya oleh pengguna awam.
RINCIAN RANTAI SERANGAN CLICKFIX
| Tahapan / Komponen | Penjelasan Teknis |
|---|---|
| Taktik Manipulasi Awal | Memanfaatkan instruksi palsu agar korban menyalin dan menempelkan perintah terkompresi berbasis hex (XOR-compressed) ke dalam Windows Terminal. |
| Eksekusi Lanjutan | Mengunduh payload ZIP, mengekstraknya menggunakan utilitas 7-Zip yang diubah namanya, serta mengonfigurasi pengecualian pada Microsoft Defender. |
| Target Injeksi (Lumma Stealer) | Menggunakan teknik QueueUserAPC() untuk menyuntikkan malware ke proses peramban (chrome.exe dan msedge.exe) guna mencuri kredensial login dan data web. |
Variasi serangan terbaru ini sangat berbahaya karena dirancang khusus untuk melewati sistem deteksi keamanan yang biasanya hanya memantau penyalahgunaan fitur Run. Selain itu, Microsoft juga mengidentifikasi jalur serangan alternatif di mana perintah mengeksekusi skrip batch melalui MSBuild.exe (penyalahgunaan LOLBins) dan terhubung ke titik akhir Crypto Blockchain RPC—sebuah teknik penghindaran canggih yang dikenal sebagai etherhiding.
Kampanye ClickFix menegaskan bahwa peretas terus berinovasi dengan mengeksploitasi alat bawaan sistem operasi. Para profesional TI dan pengguna Windows diimbau untuk tidak pernah menyalin dan menempelkan skrip tidak dikenal ke dalam terminal sistem, karena tindakan sederhana tersebut dapat mengompromikan seluruh kredensial dan infrastruktur jaringan.
