Ancaman baru di balik edit foto selfie kini tidak berhenti pada pencurian gambar atau pelanggaran privasi. Peneliti keamanan siber menemukan modus yang mendorong korban menjalankan malware sendiri melalui situs edit foto palsu, lalu membuka jalan bagi pencurian data penting.
Temuan Huntress menunjukkan layanan yang mengaku bisa menghapus latar belakang foto selfie memakai taktik ClickFix. Situs-situs ini juga dipoles dengan manipulasi SEO agar tampil di urutan atas hasil pencarian dan lebih mudah menjaring korban.
Jebakan dimulai dari permintaan yang tampak wajar
Korban biasanya datang karena ingin hasil cepat dan praktis saat mengedit foto. Mereka mengunggah foto ke situs tersebut, lalu diminta melakukan verifikasi bahwa dirinya manusia.
Di titik ini, jebakan mulai bekerja karena foto itu ternyata tidak diproses, tidak diunggah, dan tidak dibagikan. Permintaan verifikasi justru menjadi pintu masuk untuk membuat pengguna menjalankan perintah berbahaya di perangkatnya sendiri.
Verifikasi dilakukan lewat Windows Run. Korban diminta membuka program itu lalu menempelkan perintah dari clipboard, padahal langkah tersebut membuat kode berbahaya dieksekusi langsung di perangkat.
Malware masuk setelah instruksi dijalankan
Begitu perintah dijalankan, perangkat dapat terinfeksi CastelLoader. Malware ini berfungsi mengirimkan muatan tambahan dan menyebarkan malware tahap kedua.
Muatan lanjutan itu mencakup NetSupport RAT dan CastleStealer. NetSupport RAT adalah trojan yang dipakai untuk menyerang sistem terinfeksi dari jarak jauh, sedangkan CastleStealer dirancang mencuri kredensial peramban, data dompet kripto, token Discord, dan file sesi Telegram.
Rangkaian ini membuat ancaman terlihat sederhana di permukaan, tetapi dampaknya bisa luas. Serangan tidak berhenti pada satu perangkat, karena data yang dicuri dapat dipakai untuk mengambil alih akun dan akses digital lain.
Mengapa modus ini efektif
Situs palsu semacam ini tampak meyakinkan karena memanfaatkan layanan yang umum dipakai banyak orang. Pencarian yang dioptimalkan membuat halaman penipuan lebih mudah muncul dan terlihat seperti pilihan yang sah.
Skemanya juga memanfaatkan kebiasaan pengguna yang terbiasa mengikuti instruksi layanan online. Saat sebuah situs meminta langkah yang tidak biasa, korban bisa saja menganggapnya sebagai prosedur normal dan melanjutkannya tanpa curiga.
Risiko terbesar muncul bukan hanya ketika tautan dibuka. Bahaya justru meningkat saat pengguna menuruti verifikasi yang tampak rutin, karena di momen itulah perintah berbahaya dijalankan.
Langkah pencegahan yang perlu diperhatikan
Langkah pertama adalah memastikan layanan yang digunakan benar-benar sah. Layanan yang kredibel tidak meminta pengguna membuktikan bukan bot dengan membuka Run dan menempelkan perintah di perangkat.
Administrator juga dapat mematikan pintasan Win + R untuk Run agar peluang korban menjalankan kode berbahaya ikut berkurang. Di sisi pengguna, kewaspadaan perlu ditingkatkan ketika situs edit foto meminta tindakan yang tidak wajar dan tidak sesuai pola layanan biasa.
Modus ini menunjukkan bahwa ancaman siber kini bisa menyamar sebagai layanan harian yang terlihat sepele. Karena itu, permintaan verifikasi yang aneh di situs edit foto perlu diperlakukan sebagai sinyal bahaya, bukan langkah teknis biasa.
