Jaringan Situs Palsu Distribusikan Malware Penguras Dompet Kripto

Pengembang alat optimasi Windows Wintoys dan perusahaan keamanan Check Point Research membongkar operasi kejahatan siber yang memanfaatkan 72 situs web duplikat untuk menyebarkan malware, sebagaimana dilansir dari Detik iNET pada Jumat, 31 Juli 2026.

Jaringan situs palsu tersebut meniru berbagai aplikasi populer seperti Wintoys, PowerToys, CrystalDiskMark, EasyBCD, Lively Wallpaper, hingga alat riset keamanan seperti Ghidra, dnSpy, dan SpiderFoot.

Pengembang Wintoys, BogdanX, melakukan penelusuran setelah menemukan situs web palsu yang meniru halaman resmi perangkat lunaknya, yang kemudian mengarah pada penemuan puluhan domain penipuan ber-URL nyaris identik.

Situs-situs tersebut memanipulasi mesin pencari Google agar berada di halaman atas hasil pencarian kata kunci aplikasi Windows. Pada tahap awal, situs memberikan tautan unduhan asli untuk membangun kepercayaan, sebelum akhirnya menggantinya dengan tautan berisi program jahat.

Para pelaku mengalihkan trafik korban menggunakan sistem JavaScript via Amazon CloudFront dan Traffic Distribution System (TDS) yang menyesuaikan pengalihan berdasarkan lokasi serta jenis peramban pengguna.

Infrastruktur ini menyebarkan beberapa perangkat lunak berbahaya, meliputi loader multi-tahap SessionGate, pencuri informasi RemusStealer yang merupakan varian Lumma Stealer, serta AnimateClipper yang menguras dompet kripto dengan mengganti alamat di clipboard.

Data telemetri VirusTotal mencatat lebih dari 5.000 kiriman sampel terkait jaringan ini. Sampel paling awal terdeteksi sejak Agustus 2025, menandakan operasi tersebut telah berjalan tanpa terdeteksi selama hampir satu tahun.