Infostealer Amatera Mengincar Data Perusahaan

Infostealer Amatera Mengincar Data Perusahaan – Pencurian data melalui malware kini berkembang menjadi bisnis kejahatan siber yang semakin terorganisasi. Pelaku tidak harus memiliki kemampuan teknis untuk mengembangkan malware sendiri.

Mereka dapat menyewa atau membeli layanan dari pengembang yang menyediakan perangkat lunak berbahaya beserta infrastruktur pendukungnya. Salah satu contohnya adalah Amatera, malware jenis infostealer yang menunjukkan bagaimana model bisnis tersebut dijalankan.

Dalam laporan ESET, Amatera menempati posisi teratas dalam deteksi infostealer di kawasan Amerika Latin pada semester pertama 2026. Meski demikian, jangkauannya tidak terbatas pada wilayah tersebut karena malware ini juga menargetkan korban di berbagai negara.

Amatera dirancang untuk mencuri beragam informasi, mulai dari kredensial akun, cookie sesi, token autentikasi, data dompet kripto, hingga dokumen dan informasi sensitif yang digunakan dalam lingkungan pengembangan perangkat lunak.

Banyaknya jenis data yang menjadi sasaran membuat infeksi infostealer berpotensi memicu pembajakan akun, penipuan finansial, pencurian aset kripto, bahkan menjadi pintu masuk ke jaringan perusahaan.

Amatera dan Bisnis Malware-as-a-Service

Amatera, yang terdeteksi oleh produk ESET sebagai Win/PSW.Amatera, merupakan infostealer untuk sistem operasi Windows yang dikembangkan menggunakan bahasa pemrograman C++. Malware ini pertama kali teramati pada 2024 dan dipasarkan melalui model Malware-as-a-Service (MaaS).

Dalam skema MaaS, pengembang bertanggung jawab memelihara kode malware, menyediakan panel kendali, serta mengoperasikan infrastruktur pendukung. Sementara itu, pelaku lain yang disebut afiliasi membayar biaya berlangganan untuk menggunakan malware tersebut dalam kampanye mereka.

Amatera diduga merupakan hasil penggantian nama atau pengembangan ulang dari ACR Stealer. Malware tersebut juga memiliki keterkaitan dengan GrMsk Stealer, yang sebelumnya ditawarkan sebagai layanan di forum bawah tanah.

Model penggantian nama dan pengembangan ulang seperti ini lazim ditemukan dalam ekosistem kejahatan siber. Pengembang dapat memperbarui malware, mengubah mereknya, atau bahkan menjual kode sumber kepada pihak lain. Strategi tersebut memungkinkan operasi tetap berjalan dengan identitas baru dan menyulitkan pelacakan.

Pada akhir 2024, Amatera Stealer telah ditawarkan dengan biaya sekitar US$199 per bulan, termasuk dukungan melalui Telegram. Skema ini memperlihatkan bahwa pencurian informasi telah berkembang menjadi layanan berlangganan yang dapat dimanfaatkan oleh banyak pelaku.

Data Apa Saja yang Dicuri Amatera?

Kemampuan Amatera tidak terbatas pada pencurian kata sandi. Malware ini dapat mengumpulkan berbagai informasi yang tersimpan di perangkat korban, antara lain:

Kredensial peramban: nama pengguna dan kata sandi yang tersimpan pada browser.
Cookie dan token sesi: informasi autentikasi yang dapat dimanfaatkan untuk mengakses akun tanpa harus selalu memasukkan kata sandi.
Riwayat dan data formulir: informasi aktivitas penelusuran serta data yang pernah dimasukkan melalui formulir web.
Data dompet kripto: informasi terkait dompet aset digital yang dapat dimanfaatkan untuk pencurian aset.
Dokumen dan berkas: termasuk dokumen sensitif yang tersinkronisasi dengan OneDrive atau SharePoint.
Informasi lingkungan pengembangan: seperti kunci SSH, kredensial FTP, token API, dan rahasia lain yang digunakan pengembang.

Pencurian data dari layanan penyimpanan awan seperti OneDrive dan SharePoint menjadi perhatian tersendiri. Jika korban menggunakan akun perusahaan pada perangkat yang terinfeksi, dokumen kerja dan informasi internal berpotensi ikut terpapar.

Peneliti juga menemukan bahwa Amatera dapat menyasar informasi dompet kripto dengan memanipulasi clipboard. Teknik ini memungkinkan malware mengganggu proses penyalinan dan penempelan informasi, sehingga pengguna perlu berhati-hati ketika menyalin alamat dompet atau data transaksi.

ClickFix Menjadi Salah Satu Jalur Penyebaran

Amatera didistribusikan melalui berbagai metode, termasuk situs web yang telah disusupi, iklan mesin pencari, email bertarget, dokumen palsu, berkas SVG, dan teknik rekayasa sosial ClickFix.

ClickFix memanfaatkan manipulasi psikologis untuk membuat korban menjalankan perintah berbahaya di komputernya sendiri. Biasanya, korban melihat halaman yang menyerupai pemeriksaan CAPTCHA atau pesan kesalahan browser.

Halaman tersebut mengklaim terdapat masalah teknis dan menawarkan solusi dengan meminta korban menyalin perintah tertentu, kemudian menjalankannya melalui fitur Run, PowerShell, atau terminal.

Korban mungkin mengira sedang mengikuti instruksi perbaikan yang sah. Padahal, perintah tersebut dapat memulai proses pengunduhan atau eksekusi malware.

Teknik ini terus berkembang melalui beberapa variasi:

AI-Fix: Penyerang membuat halaman palsu yang menyerupai layanan AI populer, seperti Anthropic Artifacts, OpenAI Canvas, dan Microsoft Copilot Pages. Halaman tersebut menampilkan panduan pemecahan masalah palsu untuk mendorong korban menjalankan perintah berbahaya.
CrashFix: Korban diperlihatkan peringatan atau simulasi kerusakan browser yang dikaitkan dengan aplikasi pemblokir iklan palsu. Mereka kemudian diarahkan untuk menjalankan solusi cepat yang sebenarnya berbahaya.
ConsentFix: Teknik ini menipu korban agar memberikan token otorisasi OAuth. Dengan token tersebut, penyerang berpotensi mengakses akun Microsoft tanpa harus mencuri kata sandi korban.

Selain itu, afiliasi Amatera juga memanfaatkan iklan Google dan teknik manipulasi hasil pencarian (SEO poisoning) untuk mempromosikan halaman unduhan palsu.

Halaman tersebut dapat menyamar sebagai perangkat AI dan pengembangan perangkat lunak, termasuk Claude Code, NotebookLM, JetBrains, Comet, dan Snowflake.

Penyamaran semacam ini berisiko bagi pengembang yang terbiasa mengunduh perangkat kerja melalui mesin pencari. Iklan yang muncul pada posisi teratas tidak otomatis menjamin bahwa halaman tujuan merupakan situs resmi.

Dampak Infeksi Dapat Merembet ke Perusahaan

Ketika Amatera berhasil menginfeksi perangkat, informasi yang dicuri dapat dimanfaatkan untuk berbagai aktivitas kejahatan siber. Kredensial dan token sesi dapat digunakan untuk mengambil alih akun pribadi maupun perusahaan. Akses ke email dan penyimpanan awan juga dapat membuka peluang pencurian dokumen internal.

Risiko semakin besar ketika pengguna mencampurkan aktivitas pribadi dan pekerjaan dalam satu profil browser. Komputer pribadi, misalnya, dapat menyimpan sesi masuk ke email kantor, konsol layanan awan, repositori kode, atau sistem sumber daya manusia.

Jika informasi tersebut dicuri, penyerang dapat menjadikannya jalan masuk ke lingkungan organisasi. Akun yang telah dikompromikan juga berpotensi digunakan untuk penipuan, mengirim email phishing kepada rekan kerja, atau menjalankan serangan lanjutan.

Dengan demikian, dampak infostealer tidak selalu berhenti pada perangkat tempat malware pertama kali dijalankan. Data yang dicuri dapat tetap bernilai bagi pelaku bahkan setelah malware dihapus dari komputer korban.

Cara Mencegah dan Menangani Infeksi Amatera

Pengguna dan organisasi perlu memperhatikan beberapa langkah berikut untuk mengurangi risiko:

Jangan menjalankan perintah dari halaman web sembarangan. CAPTCHA, pesan kesalahan browser, atau panduan instalasi yang sah tidak semestinya meminta pengguna menyalin perintah ke PowerShell, Run, atau terminal.
Periksa keaslian situs unduhan. Jangan langsung mempercayai iklan mesin pencari. Pastikan alamat situs benar-benar milik pengembang resmi.
Gunakan autentikasi yang lebih kuat. Terapkan autentikasi tahan phishing jika tersedia dan sesuaikan masa berlaku sesi browser dengan kebutuhan pekerjaan.
Pisahkan profil pribadi dan pekerjaan. Hindari menyimpan sesi akun perusahaan pada profil browser pribadi.
Batasi eksekusi aplikasi dan perintah sistem. Organisasi dapat menerapkan kontrol aplikasi serta membatasi penggunaan PowerShell dan utilitas sistem lain di luar kebutuhan yang sah.
Pantau aktivitas mencurigakan. Tim keamanan perlu memperhatikan penggunaan PowerShell, Rundll32, WebDAV, pembuatan tugas terjadwal yang tidak biasa, serta penghapusan riwayat PowerShell.
Lindungi kredensial dan rahasia pengembangan. Hindari menyimpan token API, kunci SSH, dan informasi sensitif lainnya di browser apabila tersedia penyimpanan terkelola yang lebih aman.

Jika perangkat dipastikan terinfeksi, langkah pertama adalah mengisolasinya dari jaringan untuk membatasi aktivitas malware. Selanjutnya, gunakan perangkat yang bersih untuk mencabut sesi aktif, mengganti kata sandi, serta mengganti token API, kunci SSH, dan kredensial lain yang mungkin tersimpan di perangkat terinfeksi.

Organisasi juga perlu memeriksa aktivitas pada email, layanan awan, repositori kode, dan aplikasi keuangan. Pemeriksaan tidak boleh berhenti setelah malware dihapus karena penyerang mungkin telah membuat tugas terjadwal, memasang muatan tambahan, atau menggunakan akun yang dicuri untuk melanjutkan serangan.

Infostealer Bukan Sekadar Pencuri Kata Sandi

Amatera memperlihatkan bagaimana bisnis infostealer berkembang melalui model layanan yang memungkinkan banyak pelaku menjalankan kampanye pencurian data. Pengembang menyediakan malware dan infrastrukturnya, sedangkan afiliasi menentukan metode penyebaran serta sasaran serangan.

Bagi pengguna, ancaman ini mengingatkan bahwa satu tindakan sederhana, seperti menjalankan perintah dari halaman CAPTCHA palsu atau mengunduh aplikasi dari iklan yang tidak tepercaya, dapat berujung pada kompromi perangkat.

Sementara bagi perusahaan, pencurian kredensial, cookie, dan token autentikasi perlu dipandang sebagai risiko terhadap keamanan organisasi. Perlindungan tidak cukup hanya dengan mengandalkan antivirus, tetapi juga membutuhkan pengelolaan identitas, pembatasan hak akses, pemantauan aktivitas, serta pengamanan informasi sensitif yang tersimpan di perangkat.

Baca artikel lainnya: