Lazarus Targetkan Organisasi DeFi dengan Malware Super Senyap RemotePE
Pada September 2025, Fox-IT menemukan bahwa kelompok peretas Lazarus menargetkan organisasi DeFi menggunakan kombinasi malware RemotePE, PondRAT, dan ThemeForestRAT.
Awal Serangan: Rekayasa Sosial
Serangan siber ini diawali dengan taktik rekayasa sosial, di mana peretas menyamar sebagai karyawan sah di Telegram untuk membangun kepercayaan korban. Setelah berhasil, korban dijebak menghadiri pertemuan daring melalui situs palsu yang meniru layanan Calendly atau Picktime, yang menjadi pintu masuk bagi peretas untuk menguasai perangkat target.
Tiga Tahap Infeksi RemotePE
Infeksi RemotePE bekerja secara senyap melalui tiga tahap utama yang dirancang untuk menjaga kerahasiaan operasi:
- DPAPILoader — mendekripsi payload menggunakan fitur perlindungan data bawaan Windows (DPAPI) agar tidak memicu kecurigaan sistem.
- RemotePELoader — mengunduh modul utama dari server peretas sambil mengelabui pemantau komputer lewat teknik Hell's Gate dan manipulasi ETW.
- Eksekusi RAT — malware berbasis C++ ini dieksekusi sebagai Remote Access Trojan (RAT) sepenuhnya di dalam memori tanpa pernah disimpan ke hard disk, sehingga sama sekali tidak meninggalkan jejak file untuk dideteksi oleh perangkat keamanan.
Kontrol Penuh dan Penghapusan Jejak Ekstrem
Setelah aktif, malware memberikan kontrol penuh dan fleksibel bagi peretas untuk mengelola file, memanipulasi proses aplikasi, serta mengatur jeda waktu operasi agar aktivitasnya terlihat alami.
Untuk menghapus jejak secara ekstrem, RemotePE akan menimpa isi file target sebanyak tujuh kali dan mengubah namanya sebelum dihapus permanen, membuat analisis forensik menjadi mustahil.
Senjata Siber yang Mengendap Berbulan-bulan
Dikembangkan aktif sejak pertengahan 2023, senjata super senyap dengan tingkat deteksi nol di VirusTotal ini memang sengaja dirancang untuk mengendap diam-diam selama berbulan-bulan demi menguras target bernilai tinggi.