Sebuah malware baru bernama ACR Stealer membuktikan bahwa serangan siber kini tidak lagi mengandalkan lampiran mencurigakan atau tautan phising konvensional. Para peneliti keamanan dari Microsoft dan beberapa vendor keamanan lainnya mengungkap bahwa ACR Stealer menggunakan teknik steganografi — yaitu menyembunyikan kode berbahaya di dalam piksel gambar JPEG biasa — untuk melewati berbagai lapisan pertahanan browser modern.
Teknik ini tergolong revolusioner dalam dunia malware. Alih-alih mengirim file eksekusi yang mudah terdeteksi, pelaku kejahatan siber menyematkan payload berbahaya tepat di dalam data gambar. Ketika file JPEG tersebut dibuka oleh sistem, kode berbahaya diekstrak dan dijalankan tanpa menimbulkan kecurigaan. Seluruh proses ini berlangsung tanpa file tradisional tersimpan di disk komputer, sehingga banyak solusi antivirus berbasis signature gagal mengenalinya.
ACR Stealer tidak mengandalkan satu jalur serangan saja. Para peneliti mengidentifikasi setidaknya dua rantai distribusi berbeda yang digunakan oleh operator malware ini. Jalur pertama adalah metode fileless yang memanfaatkan steganografi seperti yang telah dijelaskan. Jalur kedua menggunakan pendekatan yang lebih konvensional namun tetap licik — malware ini membuat scheduled task tersembunyi yang menyamar sebagai pembaruan perangkat lunak resmi, sementara komponen berbahaya di-host melalui share WebDAV.
WebDAV sendiri adalah protokol yang umum digunakan dalam lingkungan korporat untuk berbagi file. Dengan menyalahgunakan infrastruktur ini, ACR Stealer dapat bergerak di dalam jaringan perusahaan dengan menyamar sebagai lalu lintas normal. Kombinasi scheduled task palsu dan WebDAV menjadikan deteksi dini sangat sulit dilakukan oleh tim keamanan yang tidak waspada.
Yang membuat ACR Stealer benar-benar berbahaya adalah cakupan data yang dicurinya. Malware ini tidak sekadar mengambil kata sandi dan cookie browser. Ia secara sistematis mencari dokumen berharga seperti file PDF sensitif dan dokumen Microsoft 365 yang tersimpan di desktop, folder Downloads, serta direktori yang disinkronkan melalui OneDrive dan SharePoint. Artinya, korporasi yang mengandalkan ekosistem Microsoft 365 untuk kolaborasi tim menjadi target utama.
Dampaknya sangat nyata bagi organisasi. Dokumen strategis, kontrak bisnis, data keuangan, hingga properti intelektual yang tersimpan di cloud Microsoft berpotensi jatuh ke tangan penjahat siber. Dalam konteks Indonesia, di mana adopsi Microsoft 365 di sektor korporat dan pemerintahan terus meningkat signifikan, ancaman seperti ini tidak bisa dianggap remeh.
Para ahli keamanan siber menyarankan serangkaian langkah mitigasi yang harus segera diterapkan oleh administrator sistem. Penggunaan Group Policy Objects untuk menonaktifkan perintah Run, penerapan AppLocker atau Windows Defender Application Control untuk memblokir eksekusi mshta.exe, serta penerapan attack surface reduction rules menjadi lapisan pertahanan yang direkomendasikan. Mshta.exe sendiri merupakan utilitas Windows yang kerap dieksploitasi oleh malware untuk menjalankan skrip berbahaya dari internet.
Yang menarik dan krusial adalah rekomendasi terkait respons pasca-kompromi. Para peneliti menekankan bahwa organisasi yang menjadi korban harus segera mencabut session token aktif dan melakukan rotasi kredensial secara menyeluruh. Sekadar mengganti kata sandi tidak cukup. Alasannya, token curian yang diambil oleh ACR Stealer mampu melewati autentikasi multi-faktor (MFA). Dengan kata lain, meskipun organisasi sudah menerapkan MFA, serangan ini tetap bisa berhasil jika token sesi telah dicuri.
Temuan ini mengonfirmasi tren yang semakin mengkhawatirkan dalam dunia keamanan siber global. MFA, yang selama ini dianggap sebagai benteng pertahanan terakhir, kini mulai ditembus oleh teknik serangan yang lebih canggih. Penjahat siber tidak lagi berusaha membobol MFA secara langsung, melainkan mencuri token sesi yang sudah terotentikasi untuk mengakses sistem dari dalam.
Bagi organisasi di Indonesia, ada beberapa langkah konkret yang bisa dilakukan mulai dari sekarang. Pertama, audit rutin terhadap scheduled task yang ada di seluruh endpoint untuk mendeteksi aktivitas mencurigakan. Kedua, pantau lalu lintas jaringan menuju dan dari share WebDAV yang tidak dikenal. Ketiga, implementasikan solusi Extended Detection and Response (XDR) yang mampu mendeteksi perilaku anomali, bukan sekadar mencocokkan signature.
Industri keamanan siber di Indonesia sendiri terus berkembang, dengan hadirnya berbagai startup lokal yang menawarkan solusi proteksi endpoint dan monitoring jaringan. Namun, tingkat adopsi solusi keamanan canggih seperti XDR dan Zero Trust Architecture masih relatif rendah, terutama di kalangan Usaha Kecil dan Menengah (UKM) serta instansi pemerintah daerah. Celah inilah yang berpotensi dimanfaatkan oleh operator ACR Stealer.
Ke depannya, tren serangan berbasis steganografi diperkiraan akan terus meningkat. Teknik ini sudah lama dikenal dalam literatur akademik, namun baru belakangan ini dimanfaatkan secara masif dalam operasi malware komersial. Kombinasi antara steganografi, ClickFix — sebuah teknik social engineering yang menipu pengguna untuk menjalankan perintah berbahaya — dan eksploitasi infrastruktur cloud menandai evolusi baru dalam lanskap ancaman siber yang semakin kompleks.