Pesan WhatsApp dari teman, rekan kerja, atau mitra bisnis yang sudah dikenal kini tidak otomatis aman dibuka. Akun pengirim yang telah diretas dapat dipakai untuk mengirim lampiran berbahaya dan memanfaatkan kepercayaan penerima.
Kampanye ini menyasar pengguna WhatsApp Desktop dan WhatsApp Web melalui file yang tampak seperti dokumen rutin. Jika file dijalankan, pelaku berpotensi memperoleh jalan untuk mengendalikan perangkat korban dari jarak jauh.
Kepercayaan terhadap Kontak Menjadi Celah
Penyerang tidak perlu memakai nomor asing yang biasanya lebih mudah dicurigai oleh pengguna. Mereka memanfaatkan akun yang sudah lebih dulu dibobol untuk mengirim file dalam percakapan yang terlihat wajar.
Umpan yang digunakan dibuat menyerupai kebutuhan administratif atau transaksi bisnis sehari-hari. Nama lampiran dapat tampil seperti faktur, laporan bank, catatan pembayaran, maupun pemberitahuan utang.
Tim Riset dan Analisis Global Kaspersky GReAT mengungkap kampanye tersebut pada Juni 2026. Rangkaian serangan dirancang bertahap, bukan sekadar mengirim satu file berbahaya yang langsung memasang perangkat kendali jarak jauh.
Fareed Radzi, peneliti keamanan Kaspersky GReAT, menyebut pelaku memperluas jangkauan target dengan menyesuaikan penamaan dokumen. “Nama file disamarkan dengan cermat sebagai dokumen bisnis rutin dan dilokalisasi dalam berbagai bahasa untuk mendukung penargetan yang luas,” ujarnya.
| Kategori | Temuan Kampanye |
|---|---|
| Wilayah terdampak | Malaysia, Brasil, Singapura, Taiwan, Vietnam, dan Eropa |
| Korban teridentifikasi terbanyak | Malaysia |
| Bahasa nama file | Inggris, Portugis, Prancis, Jerman, dan Melayu |
| Samaran lampiran | Faktur, laporan bank, catatan pembayaran, dan pemberitahuan utang |
File Skrip Menjalankan Infeksi Bertahap
Lampiran yang ditemukan berbentuk VBScript, yaitu skrip yang dapat dieksekusi oleh Windows Script Host. Format ini berbahaya apabila dibuka karena dapat menjalankan perintah lanjutan di perangkat Windows.
Pada tahap awal, skrip menyiapkan direktori kerja di C:UsersPublicDocuments. Setelah itu, skrip mengambil file tambahan dari infrastruktur eksternal melalui Windows Script Host.
Tahap berikutnya mengunduh arsip terkompresi yang memuat paket instalasi perangkat lunak pemantauan dan manajemen jarak jauh. Rangkaian tersebut dapat memberi pelaku akses kendali jarak jauh setelah korban mengeksekusi lampiran.
Kaspersky juga menemukan metadata ekstensif pada sampel VBScript yang dianalisis. Metadata itu dirancang untuk meniru komponen sah Microsoft Windows Update agar aktivitas berbahaya tampak lebih meyakinkan bagi sistem keamanan.
Ekstensi yang Perlu Dicurigai
Risiko terbesar muncul ketika lampiran datang tanpa diminta atau tidak sesuai dengan konteks percakapan, meski pengirimnya dikenal. Pengguna perlu memverifikasi isi pesan secara independen kepada pengirim sebelum membuka dokumen tersebut.
Perhatian khusus perlu diberikan pada file berekstensi .vbs, .vbe, .exe, .bat, .cmd, .js, dan .ps1. File-file itu sebaiknya tidak dibuka sebelum asal, tujuan, dan keamanannya benar-benar dipastikan.
Penggunaan solusi keamanan dengan perlindungan waktu nyata dapat membantu mendeteksi dan mencegah infeksi sebelum serangan berlanjut. Namun, kewaspadaan saat menerima lampiran tetap penting karena modus ini mengandalkan rasa percaya terhadap kontak yang sudah dikenal.
Pengguna WhatsApp Desktop maupun WhatsApp Web perlu lebih cermat melihat jenis file, bukan hanya nama pengirim atau judul dokumennya. Lampiran bisnis yang tampak biasa dapat menjadi awal proses infeksi apabila dijalankan tanpa verifikasi.