VLC dan VMware Jadi Kendaraan Malware

VLC dan VMware Jadi Kendaraan Malware – Penjahat siber memanfaatkan aplikasi tepercaya seperti VLC Media Player dan utilitas VMware untuk menjalankan kode berbahaya di komputer Windows.

Teknik ini dikenal sebagai DLL side-loading, yaitu metode yang membuat program asli memuat pustaka DLL yang telah dimodifikasi atau disiapkan penyerang untuk menjalankan malware.

Aktivitas tersebut terungkap dalam penelitian yang dipublikasikan pada 22 Oktober 2026. Peneliti mengidentifikasi tiga kampanye malware yang menargetkan pengguna di Brasil dan Portugal.

Kampanye tersebut melibatkan Overlord RAT, malware perbankan Lampion, serta serangan lain yang menggunakan DLL berbahaya untuk memberikan akses jarak jauh kepada penyerang.

Meski memiliki kemiripan dalam teknik penyebaran, belum ada bukti yang memastikan ketiganya dikendalikan oleh kelompok yang sama.

Memanfaatkan Kepercayaan terhadap Aplikasi Asli

DLL (Dynamic Link Library) merupakan berkas yang berisi kode atau fungsi pendukung bagi aplikasi Windows. Ketika sebuah program dijalankan, program tersebut dapat memuat DLL tertentu untuk menjalankan berbagai fungsi.

Dalam serangan DLL side-loading, penyerang menempatkan DLL berbahaya di lokasi yang dapat ditemukan oleh program asli. Jika aplikasi memuat pustaka tersebut, kode berbahaya dapat dijalankan melalui proses aplikasi yang terlihat sah.

Teknik ini tidak selalu berarti bahwa VLC Media Player atau VMware memiliki kerentanan keamanan. Penyerang justru menyalahgunakan cara aplikasi memuat pustaka pendukung.

Karena itu, memeriksa nama program atau memastikan berkas utamanya asli saja belum tentu cukup untuk mengetahui apakah proses tersebut aman.

Penelitian WatchGuard menemukan penggunaan VLC dan utilitas Microsoft .NET Framework dalam salah satu kampanye. Pada kampanye lain, penyerang memanfaatkan utilitas jaringan VMware bernama vnetlib.exe untuk memuat DLL berbahaya.

Rangkaian serangan juga melibatkan skrip yang disamarkan, berkas instalasi, dan layanan penyimpanan awan untuk mengirimkan komponen tambahan.

Tiga Kampanye dengan Metode Penyebaran Berbeda

1. Overlord RAT menyamar sebagai dokumen hukum

Kampanye Overlord RAT menargetkan pengguna di Brasil melalui email phishing yang meniru pemberitahuan dari kantor notaris. Korban diarahkan ke tautan yang diklaim berisi dokumen hukum, tetapi sebenarnya mengunduh skrip VBScript atau paket instalasi yang menjadi bagian dari rangkaian infeksi.

Beberapa skrip menyamarkan instruksinya dengan menyusun teks dari kode karakter atau menggabungkan potongan-potongan teks. Cara ini dapat menyulitkan pemeriksaan manual karena fungsi sebenarnya tidak langsung terlihat.

Paket instalasi yang dianalisis WatchGuard menggunakan DLL side-loading melalui program asli, termasuk VLC Media Player. Tahap berikutnya dapat melibatkan pengunduhan berkas dari layanan seperti Dropbox atau Google Cloud Storage.

Peneliti juga menemukan skrip yang berupaya menambahkan pengecualian pada Microsoft Defender, serta mekanisme persistensi melalui tugas terjadwal atau folder Startup. Tujuannya adalah membantu malware tetap berjalan dan mengurangi kemungkinan terdeteksi oleh mekanisme keamanan tertentu.

Overlord RAT merupakan remote access trojan (RAT), yaitu malware yang memungkinkan penyerang mengendalikan perangkat dari jarak jauh. Kemampuan yang ditemukan dalam rangkaian ini mencakup eksekusi kode berbahaya dan pemuatan payload tambahan ke memori.

2. Lampion menyamar sebagai dokumen keuangan

Kampanye kedua menggunakan Lampion, malware perbankan yang menargetkan pengguna di Portugal. Email phishing membawa lampiran ZIP yang seolah-olah berisi bukti pembayaran atau dokumen keuangan. Di dalamnya terdapat berkas HTML yang mengarahkan korban untuk mengunduh skrip tambahan dari layanan penyimpanan awan.

Salah satu skrip yang diperiksa berukuran sekitar 5 MB, tetapi bagian yang menjalankan fungsi utama hanya sekitar 5 KB. Sebagian besar isinya merupakan data tambahan yang membuat analisis lebih sulit dan memakan waktu.

Penyamaran melalui dokumen keuangan memanfaatkan kebiasaan pengguna membuka bukti transaksi atau lampiran yang dianggap penting. Jika rangkaian infeksi berhasil, malware dapat melanjutkan prosesnya untuk menjalankan fungsi berbahaya pada perangkat korban.

3. Halaman unduhan faktur palsu memuat RAT

Kampanye ketiga menggunakan situs berbahasa Portugis dengan judul “Download Seguro – Factura”, yang berarti unduhan aman untuk faktur. Situs tersebut menampilkan CAPTCHA palsu dan mengarahkan pengunjung untuk mengunduh berkas ISO.

Berkas itu berisi skrip VBScript yang disamarkan, program asli VMware, serta DLL berbahaya. Ketika utilitas VMware dijalankan, DLL tersebut dimuat dan mendekripsi payload lain yang ditulis menggunakan bahasa pemrograman Pascal.

Payload yang ditemukan memiliki kemampuan untuk menjalankan perintah melalui PowerShell atau Command Prompt, mengendalikan mouse dan keyboard, menulis berkas, serta menampilkan aktivitas layar korban kepada penyerang. Malware juga dapat membuat mekanisme persistensi melalui registri Windows agar dapat dijalankan kembali setelah perangkat dimulai ulang.

Kemampuan tersebut berpotensi memberikan kendali luas kepada penyerang atas perangkat yang terinfeksi. Namun, kemampuan yang ditemukan dalam analisis teknis tidak otomatis membuktikan bahwa semua fungsi telah digunakan terhadap setiap korban.

Tanda Bahaya yang Perlu Diperhatikan

Rangkaian serangan ini menunjukkan bahwa aktivitas berbahaya dapat tersembunyi di balik program asli, skrip, dan layanan yang lazim digunakan. Tim keamanan perlu menghubungkan berbagai indikator, bukan menilai setiap aktivitas secara terpisah.

Beberapa tanda yang patut diperiksa meliputi:

Skrip yang diunduh secara tidak terduga. Periksa VBScript, berkas ISO, atau paket instalasi yang berasal dari tautan email dan situs yang tidak dikenal.
Aplikasi tepercaya memuat DLL dari lokasi tidak biasa. Program seperti VLC atau utilitas VMware yang dijalankan dari folder sementara perlu diperiksa konteksnya, terutama jika disertai pustaka yang tidak dikenal.
Pengecualian Microsoft Defender berubah tanpa alasan jelas. Pastikan perubahan konfigurasi keamanan memang dilakukan oleh administrator yang berwenang.
Muncul tugas terjadwal atau entri Startup baru. Periksa apakah program yang dijalankan sesuai dengan fungsi sistem yang diklaimnya.
Ada koneksi keluar yang tidak wajar. Hubungkan aktivitas jaringan dengan proses dan berkas yang memicunya untuk mengidentifikasi kemungkinan komunikasi dengan server kendali penyerang.

Cara Mengurangi Risiko

Organisasi dan pengguna dapat menerapkan beberapa langkah pencegahan berikut:

Verifikasi dokumen dan tautan. Jangan membuka lampiran atau mengunduh dokumen hukum, faktur, maupun bukti pembayaran hanya karena tampilannya meyakinkan. Konfirmasikan melalui kanal resmi jika ada keraguan.
Unduh perangkat lunak dari sumber resmi. Hindari pemasang aplikasi dari situs yang tidak dikenal, khususnya jika tautannya muncul dalam email atau halaman unduhan yang mencurigakan.
Gunakan perlindungan endpoint yang aktif. Pastikan sistem keamanan diperbarui dan mampu memantau perilaku proses, skrip, perubahan konfigurasi, serta aktivitas mencurigakan.
Batasi hak akses. Pengguna sehari-hari sebaiknya tidak menggunakan hak administrator jika tidak diperlukan. Hal ini dapat membatasi sebagian tindakan malware, meskipun tidak menjamin perangkat sepenuhnya terlindungi.
Pantau rangkaian proses. Tim keamanan perlu memeriksa hubungan antara skrip, program induk, DLL yang dimuat, perubahan persistensi, dan koneksi jaringan.
Isolasi perangkat yang terindikasi terinfeksi. Jika ditemukan aktivitas mencurigakan, pisahkan endpoint dari jaringan sesuai prosedur respons insiden, simpan bukti yang relevan, dan lakukan pemeriksaan sebelum perangkat digunakan kembali.

Serangan ini menegaskan bahwa aplikasi yang sah tidak selalu menjamin seluruh aktivitas yang dijalankannya aman. Dalam teknik DLL side-loading, program asli justru dapat menjadi kendaraan bagi kode berbahaya.

Karena itu, keamanan Windows perlu mencakup pemantauan perilaku aplikasi dan pustaka yang dimuatnya, bukan hanya pemeriksaan nama atau reputasi berkas utama.

Baca artikel lainnya: