Cruciferra Crypter Gunakan BYOVD dan Process Ghosting untuk Sembunyikan Malware Windows

Kelompok kejahatan siber yang terkait dengan China diketahui menggunakan metode canggih dalam menyebarkan malware berbahaya di Windows melalui layanan crypter bernama Cruciferra. Layanan ini digunakan untuk menyembunyikan berbagai jenis malware, termasuk Remote Access Trojan (RAT) dan pencuri data (stealer), yang dikirimkan lewat kampanye phishing yang menargetkan para wajib pajak, profesional pajak, dan tim keuangan perusahaan di India.

Teknologi Canggih Cruciferra dalam Menghindari Deteksi

Berdasarkan analisis terbaru dari Proofpoint, Cruciferra menggunakan berbagai teknik kompleks untuk mengelabui sistem keamanan dan memperkecil peluang malware terdeteksi. Cruciferra ditulis menggunakan Mono dan memiliki fitur seperti pemanggilan sistem secara tidak langsung, API dan Import Address Table (IAT) unhooking, serta manipulasi endpoint detection and response (EDR) dengan BYOVD (Bring Your Own Vulnerable Driver).

“Cruciferra menggunakan berbagai teknik untuk menghindari deteksi, analisis, dan respons insiden, termasuk eskalasi hak akses, mekanisme persistensi, serta implementasi khusus Process Ghosting untuk menjalankan payload dengan meminimalkan jejak forensik,” jelas Proofpoint dalam laporannya.

Selain itu, Cruciferra mendukung berbagai rutinitas enkripsi khusus yang tampaknya dihasilkan secara dinamis dengan menggabungkan algoritma kriptografi terkenal. Hal ini membuat analisis statis dan deteksi berbasis tanda tangan menjadi jauh lebih sulit karena setiap sampel memiliki algoritma enkripsi yang berbeda secara polimorfik.

Peran Crypter dan Dampaknya di Dunia Kejahatan Siber

Crypter seperti Cruciferra memiliki peranan penting di ekosistem kejahatan siber, karena kemampuan mereka untuk menyamarkan payload malware, membingungkan sistem keamanan, dan meningkatkan tingkat keberhasilan pengiriman malware. Cruciferra bahkan dijuluki sebagai "crypter paling mematikan" di pasar gelap dengan harga antara $450 hingga $2.000 per bulan, dan mulai dipasarkan sejak musim gugur 2025.

Berbagai keluarga malware populer yang didistribusikan melalui Cruciferra meliputi:

• Agent Tesla
• AsyncRAT
• DarkCloud Stealer
• Formbook
• Phantom Stealer
• Remcos RAT
• Snake Keylogger
• ValleyRAT
• XLoader
• XWorm
• zgRAT

Kampanye Phishing Sebagai Vektor Utama Serangan

Kampanye kejahatan siber yang menggunakan Cruciferra biasanya dimulai dengan phishing sebagai vektor akses awal. Metode ini memungkinkan pelaku mengirimkan payload terenkripsi yang dapat disimpan di disk atau diunduh dari server staging. Jumlah pesan yang dikirim dalam satu kampanye bisa mencapai ratusan hingga ribuan, dengan target utama meliputi sektor jasa keuangan, kesehatan, pemerintahan, pendidikan, dan manufaktur.

Salah satu kampanye yang diketahui melibatkan aktor siber berbahasa Mandarin bernama TA4922, yang juga memiliki keterkaitan dengan kelompok ancaman Silver Fox. Kampanye ini menggunakan umpan bertema pajak yang mengarahkan korban ke halaman pendaratan yang dikendalikan pelaku, yang berisi file ZIP berisi malware. Empat kampanye serupa terdeteksi antara April dan awal Juni 2026.

Dokumentasi mendalam terkait serangan ini juga telah dipublikasikan oleh Seqrite Labs dan Cyderes Howler Cell, dengan Seqrite melacak aktivitas tersebut menggunakan kode nama Operation DragonReturn.

Kampanye lain yang menggunakan Cruciferra termasuk:

• Email yang menyamar sebagai Administrasi Jaminan Sosial AS (SSA) untuk menyebarkan XWorm dan AdaptixC2 (Mei 2026)
• Email bertema masalah kutu busuk dan keluhan tamu yang menargetkan industri perhotelan dan pariwisata untuk mengirimkan malware zgRAT (akhir Juni 2026)

Teknik Evasion dan Persistensi yang Digunakan Cruciferra

Terlepas dari jenis kampanye, Cruciferra selalu dijalankan menggunakan metode DLL side-loading dan menerapkan berbagai teknik pengelakan seperti menyembunyikan jendela konsol, unhooking fungsi Windows API guna mengurangi visibilitas, penggunaan pemanggilan sistem tidak langsung, menonaktifkan pemberitahuan pengguna, serta penyalahgunaan driver "GoFlyDrv.sys" dalam serangan BYOVD yang bertujuan menghentikan proses keamanan.

Cruciferra juga memeriksa apakah berjalan dengan hak Administrator, dan bila tidak, berupaya menaikkan hak akses dengan melewati UAC melalui COM Elevation Moniker. Untuk memastikan kelangsungan hidup malware, Cruciferra menulis ke registri Software\Microsoft\Windows\CurrentVersion\Run dengan nilai default "putty" agar otomatis berjalan setelah reboot.

Payload akhir dijalankan di memori menggunakan varian Process Ghosting, teknik canggih yang menjalankan kode berbahaya dari file sementara yang sudah dihapus sebelum proses dimulai. Cara ini membuat produk keamanan kesulitan mendeteksi malware karena tidak ada file yang bisa dipindai. Cruciferra juga melakukan patch pada hook ZwQueryVirtualMemory dan mencoba memodifikasi rutin NtManageHotPatch untuk menyembunyikan penghapusan file serta menonaktifkan pengecekan integritas.

Analisis Redaksi

Menurut pandangan redaksi, kemunculan Cruciferra Crypter menunjukkan eskalasi signifikan dalam kemampuan pelaku kejahatan siber untuk menghindari deteksi dengan menggunakan teknik tingkat lanjut seperti BYOVD dan Process Ghosting. Ini bukan hanya tantangan bagi sistem keamanan endpoint tradisional tetapi juga memperlihatkan bagaimana serangan siber semakin modular dan dinamis, mempersulit upaya mitigasi dan respons insiden.

Teknologi BYOVD yang memanfaatkan driver rentan milik pihak ketiga untuk menonaktifkan perlindungan keamanan menjadi perhatian khusus, karena ini bisa membuka celah luas bagi berbagai malware untuk beroperasi tanpa hambatan. Di sisi lain, penggunaan kriptografi polimorfik pada payload menambah lapisan kompleksitas analisis bagi para peneliti keamanan.

Pengguna dan organisasi harus meningkatkan kesadaran akan pentingnya deteksi berlapis dan pemantauan aktif, terutama terhadap kampanye phishing yang menjadi pintu masuk utama. Selain itu, pembaruan sistem dan pengawasan terhadap driver yang terpasang perlu diperketat untuk menutup celah BYOVD. Ke depan, perkembangan teknik evasi seperti yang digunakan Cruciferra kemungkinan akan menjadi tren yang makin umum di dunia malware.

Untuk informasi lebih lanjut dan update terbaru, Anda dapat mengikuti laporan dari The Hacker News serta sumber keamanan siber terkemuka lainnya.