Pesan dari kontak yang sudah dikenal tidak selalu aman untuk dibuka, terutama bila membawa lampiran dokumen yang tidak diduga. Kampanye malware baru menyasar pengguna WhatsApp Desktop dan WhatsApp Web dengan memanfaatkan akun yang sebelumnya telah diretas.
Modus ini berbahaya karena penyerang tidak perlu mengandalkan pesan dari nomor asing yang mudah dicurigai. Mereka memakai kepercayaan korban kepada rekan, teman, atau kontak bisnis untuk mendorong file berbahaya dibuka dan dijalankan.
Tim Riset dan Analisis Global atau Kaspersky GReAT mengungkap kampanye tersebut pada Juni 2026. Tujuan akhirnya adalah memperoleh akses kendali jarak jauh ke sistem korban melalui rangkaian infeksi bertahap.
File yang dikirim berbentuk VBScript, jenis skrip yang dapat dijalankan oleh Windows Script Host. Agar tampak meyakinkan, nama file disamarkan sebagai dokumen administratif yang lazim diterima dalam percakapan kerja atau transaksi bisnis.
Dokumen Bisnis Menjadi Umpan
Penyerang menggunakan beberapa tema dokumen untuk mengurangi kecurigaan penerima. Nama lampiran dapat dibuat menyerupai faktur, laporan bank, catatan pembayaran, hingga pemberitahuan utang.
Menurut peneliti keamanan Kaspersky GReAT, Fareed Radzi, pelaku juga menyesuaikan bahasa file untuk memperluas jangkauan target. “Nama file disamarkan dengan cermat sebagai dokumen bisnis rutin dan dilokalisasi dalam berbagai bahasa untuk mendukung penargetan yang luas,” ujarnya.
| Kategori | Temuan Kampanye |
|---|---|
| Wilayah terdampak | Malaysia, Brasil, Singapura, Taiwan, Vietnam, dan Eropa |
| Wilayah dengan korban terbanyak | Malaysia |
| Bahasa yang digunakan | Inggris, Portugis, Prancis, Jerman, dan Melayu |
| Samaran lampiran | Faktur, laporan bank, catatan pembayaran, dan pemberitahuan utang |
Malaysia tercatat sebagai negara dengan jumlah korban teridentifikasi terbanyak sejauh ini. Penyebaran di sejumlah wilayah dan penggunaan beberapa bahasa menunjukkan bahwa kampanye ini dirancang untuk menjangkau pengguna dalam skala luas.
Infeksi Berjalan dalam Beberapa Tahap
Ketika lampiran dibuka, malware tidak langsung memasang perangkat kendali jarak jauh dalam satu proses. Skrip awal terlebih dahulu menyiapkan direktori kerja di C:UsersPublicDocuments untuk menjalankan tahapan berikutnya.
Setelah itu, skrip mengambil file tambahan dari infrastruktur eksternal dengan memanfaatkan Windows Script Host. Tahap lanjutan kemudian mengunduh arsip terkompresi yang berisi paket instalasi perangkat lunak pemantauan dan manajemen jarak jauh.
Rangkaian ini membuat infeksi tampak lebih kompleks daripada sekadar lampiran berbahaya biasa. Korban yang mengeksekusi file dapat membuka jalan bagi pelaku untuk mendapatkan akses kendali jarak jauh ke perangkat.
Kaspersky juga menemukan metadata ekstensif pada sampel VBScript tersebut. Metadata itu dirancang untuk meniru komponen sah Microsoft Windows Update sehingga aktivitas berbahaya dapat terlihat lebih meyakinkan bagi sistem keamanan.
Ekstensi File yang Perlu Diwaspadai
Pengguna WhatsApp Desktop dan WhatsApp Web perlu mencurigai lampiran yang datang tiba-tiba, termasuk apabila pengirimnya adalah kontak yang dikenal. Verifikasi secara independen kepada pengirim tetap penting sebelum membuka dokumen yang tidak pernah diminta atau tidak sesuai konteks percakapan.
Ekstensi seperti .vbs, .vbe, .exe, .bat, .cmd, .js, dan .ps1 perlu mendapat perhatian lebih. File dengan jenis tersebut sebaiknya tidak dibuka tanpa kepastian mengenai asal, tujuan, dan keamanan lampirannya.
Penggunaan solusi keamanan dengan perlindungan waktu nyata dapat membantu mendeteksi serta mencegah infeksi sebelum proses berlanjut. Namun, kewaspadaan saat menerima file tetap menjadi lapisan penting karena kampanye ini memanfaatkan rasa percaya terhadap kontak yang sudah dikenal.
