JBNews.id — Pengembang di balik alat optimasi Windows populer, Wintoys, membongkar operasi kejahatan siber yang meniru puluhan aplikasi Windows melalui situs web duplikat. Situs palsu ini mendistribusikan malware yang mampu menjebol privasi pengguna, membajak kredensial akun, hingga menguras dompet kripto.
Pengembang dengan nama BogdanX mengungkapkan kepada Windows Latest bahwa risetnya bermula setelah ia menemukan situs web palsu yang meniru halaman resmi Wintoys. Penelusuran terhadap pendaftaran situs tersebut akhirnya mengarah pada 72 situs web penipuan yang dibangun dengan skema serupa. Beberapa di antaranya bahkan secara sengaja menggunakan URL yang nyaris identik dengan domain asli yang mereka tiru.
Skema penipuan yang lebih luas ini sebelumnya juga telah dipetakan secara rinci oleh perusahaan keamanan siber Check Point Research. Mereka menemukan bahwa situs-situs palsu ini bekerja keras untuk mendapatkan peringkat tinggi di mesin pencari seperti Google untuk kata kunci pencarian terkait perangkat lunak Windows yang populer.
Setelah mendapatkan kepercayaan dari mesin pencari dan mendatangkan trafik pengunjung, mereka akan mulai menyebarkan malware. Pada tahap awal beroperasi, situs-situs ini menautkan pengunjung ke tautan unduhan aplikasi yang sah. Namun, begitu situs tersebut mulai populer dan mendapatkan banyak pengunjung, para pelaku diam-diam mengganti tautan asli tersebut dengan tautan penipuan.
Banyak dari domain ini terdaftar di bawah pemilik yang sama dan bahkan mencantumkan referensi sumber hulu asli, seperti repositori GitHub sungguhan, sehingga sangat sulit dibedakan dari proyek sah yang mereka tiru. Beberapa situs memuat lapisan staging JavaScript via Amazon CloudFront yang mencegat klik pada tombol unduh dan mengalihkan koneksi melalui sistem distribusi lalu lintas atau Traffic Distribution System (TDS).
Sistem ini kemudian mengarahkan pengguna ke infrastruktur hosting malware atau sumber yang sah, bergantung pada lokasi, jenis peramban, dan sinyal lainnya dari korban. Modus ini memungkinkan pelaku untuk menghindari deteksi dari pengguna awam maupun sistem keamanan otomatis.
Menyamar Jadi Aplikasi Populer
Selain Wintoys, program Windows populer lainnya yang turut dipalsukan dengan cara ini meliputi PowerToys, CrystalDiskMark, EasyBCD, Lively Wallpaper, dan banyak lagi. Temuan Check Point juga mengungkap keberadaan halaman tiruan untuk alat keamanan dan riset seperti Ghidra, dnSpy, dan SpiderFoot. Hal ini menjadi peringatan keras bahwa power user sekalipun tidak kebal terhadap ancaman jebakan situs web palsu ini.
Para peneliti mengaitkan infrastruktur operasi ini dengan beberapa keluarga malware berbahaya. Salah satunya adalah SessionGate, sebuah loader multi-tahap yang digunakan untuk menginstal perangkat lunak yang tidak diinginkan secara diam-diam. Dua cabang lain dari jaringan TDS yang sama mengarah ke muatan yang lebih merusak.
RemusStealer adalah malware pencuri informasi (infostealer) yang diyakini sebagai varian dari keluarga Lumma Stealer. Sementara itu, AnimateClipper merupakan malware pencuri kripto yang bersembunyi untuk membaca clipboard perangkat, lalu secara otomatis mengganti alamat dompet kripto yang disalin pengguna dengan alamat dompet milik penyerang.
Skala operasi ini terlihat jelas dari data telemetri VirusTotal. Para peneliti mencatat lebih dari 5.000 kiriman sampel terkait hanya dari subset yang dibagikan secara publik, dan memperkirakan jumlah infeksi sebenarnya di lapangan jauh lebih tinggi. Sampel paling awal bahkan tercatat berasal dari Agustus 2025, yang berarti operasi ini telah berjalan tanpa terdeteksi selama hampir setahun penuh sebelum akhirnya terbongkar.
Ancaman ini muncul di tengah meningkatnya perhatian terhadap keamanan siber secara global. Fenomena serupa juga pernah terjadi di ranah lain, seperti situs streaming ilegal yang dirazia otoritas Amerika Serikat. Modus manipulasi mesin pencari yang digunakan para pelaku menunjukkan tingkat kecanggihan yang terus berkembang dalam ekosistem kejahatan siber.
Para ahli menyarankan pengguna untuk selalu mengunduh perangkat lunak langsung dari situs resmi pengembang. Selain itu, memeriksa URL dengan teliti sebelum mengunduh aplikasi menjadi langkah penting untuk menghindari jebakan situs palsu. Pengguna juga disarankan untuk tidak mengklik tautan unduhan dari hasil pencarian yang mencurigakan.
Operasi penipuan ini juga menyoroti pentingnya kewaspadaan terhadap konten digital yang dimanipulasi. Seperti halnya konten AI yang digunakan untuk menyesatkan publik, situs palsu ini memanfaatkan teknik manipulasi untuk mengelabui korban.
Bagi pengguna yang aktif menggunakan aplikasi Windows populer, langkah verifikasi ekstra sangat disarankan. Memastikan bahwa situs yang dikunjungi adalah domain resmi dengan sertifikat keamanan yang valid dapat menjadi pertahanan pertama terhadap ancaman ini. Pengguna juga dapat memanfaatkan fitur keamanan bawaan Windows yang memblokir unduhan dari sumber tidak tepercaya.
Temuan ini menjadi pengingat bahwa meskipun teknologi keamanan terus berkembang, pelaku kejahatan siber juga semakin canggih dalam menyusun strategi mereka. Kolaborasi antara pengembang, peneliti keamanan, dan pengguna menjadi kunci dalam memerangi ancaman yang terus berevolusi ini.