Operation Endgame: Aparat Global Lumpuhkan "Pabrik" Malware Amadey dan StealC
Jutaan kredensial curian diamankan. Ratusan server dimatikan. Puluhan juta dolar aset kripto dibekukan. Inilah hasil dari salah satu operasi pemberantasan kejahatan siber terbesar yang pernah dilakukan—dan targetnya adalah "pabrik" malware yang selama bertahun-tahun jadi mesin uang para penjahat digital.
Europol bersama aparat dari berbagai negara, didukung perusahaan keamanan siber seperti Bitdefender, Bitsight, ESET, dan Microsoft, berhasil melumpuhkan infrastruktur yang menjadi tulang punggung penyebaran malware Amadey dan StealC. Sasarannya bukan sekadar menangkap pelaku, tapi menghancurkan "jalur produksi" kejahatan siber yang berjalan lewat model Cybercrime-as-a-Service.
Hasil Operasi: Rp770 Miliar Aset Kripto Dibekukan
Dalam operasi selama dua minggu ini, tim gabungan mencatat sejumlah pencapaian besar:
- Membekukan aset kripto hasil kejahatan senilai lebih dari US$47 juta (±Rp770 miliar)
- Memulihkan sekitar 27 juta kredensial login curian dari korban di seluruh dunia
- Membongkar 326 server dan menutup 142 domain pengendali jaringan malware
Chief Security Strategist Bitdefender, Alex Cosoi, menegaskan bahwa keberhasilan ini membuktikan pentingnya kolaborasi pemerintah dan sektor swasta—sebab jaringan penjahat siber kini tersebar di banyak negara sehingga tidak mungkin ditangani satu lembaga saja.
Malware Kini Dijual Layaknya Layanan Berlangganan
Amadey dan StealC berkembang pesat karena dipasarkan dengan model Malware-as-a-Service (MaaS)—mirip layanan software berlangganan. Pengembang menyediakan "produk", sementara pelaku kejahatan cukup menyewa tanpa perlu bisa membuat malware sendiri. Model ini membuat siapa pun bisa meluncurkan serangan siber hanya dengan membayar biaya langganan.
Amadey: Si "Pintu Masuk" Veteran Sejak 2018
Amadey berperan sebagai loader—malware tahap awal yang membuka pintu masuk ke perangkat korban, lalu mengunduh malware lain yang lebih berbahaya. Biasanya disebar lewat email phishing atau loader lain seperti Emmenhtal dan SmokeLoader.
Malware ini bukan pemain baru. Dikembangkan dengan bahasa C++ sejak Oktober 2018 oleh pelaku bernama InCrease, harga sewanya cukup murah: sekitar US$600 per lisensi, ditambah US$50 tiap kali membuat versi baru. Versi terbarunya, 5.87, menunjukkan malware ini masih terus dikembangkan.
Kemampuannya cukup lengkap: mengecek spesifikasi komputer korban, mengunduh file berbahaya, mengambil tangkapan layar, mengaktifkan Remote Desktop (RDP), hingga mencuri kredensial dan isi clipboard. Karena itu, Amadey sering jadi "pembuka jalan" sebelum ransomware dijalankan.
Aktivitasnya melonjak tajam dari tahun ke tahun: hanya 66 sampel pada 2019, naik jadi 3.500 pada 2022, mencapai 11.635 sampel pada 2025, dan sekitar 1.837 payload sudah tercatat hingga pertengahan 2026.
StealC: Spesialis Pencuri Data
Berbeda dari Amadey, StealC dirancang khusus untuk mencuri data. Muncul sejak Januari 2023, dijual operator bernama samaran "plymouth" seharga US$300/bulan atau US$1.000 untuk enam bulan. Versi terbarunya 2.2.1, dengan korban terbanyak di Amerika Serikat, Polandia, dan Italia.
StealC bisa mencuri username, password, cookie browser, data kartu kredit, hingga data dari aplikasi populer seperti Discord, Telegram, dan Steam. Malware ini bahkan bisa berfungsi sebagai loader tahap kedua untuk mengunduh malware tambahan.
Menghindari Negara Sendiri
Baik StealC maupun Amadey punya kebiasaan unik: keduanya berhenti bekerja atau menonaktifkan fitur pencurian jika mendeteksi komputer memakai bahasa Rusia, Ukraina, Belarus, Kazakhstan, atau Uzbekistan. Pola ini umum ditemukan pada malware buatan pelaku Eropa Timur, sebagai cara menghindari penegakan hukum di negara asal mereka.
Celah Keamanan yang Terbongkar
Awal 2026, peneliti CyberArk menemukan celah XSS pada panel admin StealC, yang membuka informasi soal salah satu pelanggannya—kelompok bernama YouTubeTA yang menyebarkan malware lewat software bajakan Photoshop dan After Effects di YouTube. Peneliti lain dari IBM X-Force dan Proofpoint juga menemukan celah directory traversal yang sempat dimanfaatkan satu afiliasi untuk mencuri data afiliasi lainnya, sebelum akhirnya ditutup Februari 2026.
Microsoft: 140.000 Komputer Terinfeksi dalam 2 Minggu
Microsoft mengungkap bahwa Amadey dan StealC ternyata memakai infrastruktur yang saling terkait. Hanya dalam dua minggu pertama Mei 2026, keduanya sudah terkait dengan lebih dari 140.000 komputer terinfeksi. Microsoft berhasil mengidentifikasi 18.000 perangkat korban, memutus akses pelaku, serta membantu menutup sekitar 200 domain dan alamat IP command-and-control.
Bagian dari Operation Endgame
Seluruh operasi ini merupakan bagian dari Operation Endgame, operasi internasional yang berlangsung 15–19 Juni 2026, melibatkan aparat dari Belgia, Kanada, Denmark, Prancis, Jerman, Belanda, Inggris, dan Amerika Serikat.
Menurut Eurojust, fokus operasi ini adalah menghancurkan initial access malware—malware pintu masuk yang jadi awal dari berbagai serangan siber. Dengan memutus rantai infeksi sejak tahap awal, aparat sekaligus menghambat ransomware, pencurian data, penipuan digital, hingga perdagangan data curian.
Meski hasil operasi ini signifikan, para ahli mengingatkan bahwa model Malware-as-a-Service membuat kelompok kriminal bisa dengan cepat membangun kembali infrastrukturnya. Karena itu, kerja sama internasional dan kewaspadaan pengguna tetap jadi kunci menjaga keamanan dunia digital.
Sumber: https://csirt.or.id/berita/ratusan-server-malware-berhasil-disita