Tim Malware Research & Development dari ThreatMon berhasil mengungkap cara kerja GOGLoader, sebuah malware loader (pemuat malware) yang sangat canggih dan dijual secara komersial melalui model Malware-as-a-Service (MaaS).
Malware ini menjadi populer karena kemampuannya yang luar biasa: menggabungkan kode C++ dengan payload berbasis .NET untuk membuat serangan yang diam-diam, sulit dideteksi, dan bisa bertahan lama di sistem korban.
Mengapa GOGLoader Berbahaya?
-
Desain Hybrid yang Canggih
GOGLoader menggunakan kombinasi dua bahasa pemrograman: C++ dan .NET.
Komponen C++ bertugas mengeksekusi kode .NET langsung di memori tanpa menulis file ke hard disk.
Artinya, tidak ada jejak file mencurigakan yang bisa dideteksi antivirus. Teknik ini membuatnya sangat sulit dianalisis oleh alat forensik atau antivirus tradisional. -
Dijual Secara Komersial di Dark Web
GOGLoader tidak hanya digunakan oleh peretas profesional. Malware ini dijual di pasar gelap (dark web) lengkap dengan panel kontrol (Command and Control/C2) yang memiliki tampilan profesional.
Dengan begitu, bahkan penjahat siber pemula pun bisa menjalankan kampanye serangan canggih hanya dengan mengikuti panduan yang sudah disediakan. -
Kemampuan Bertahan yang Tinggi (High Resilience)
Malware ini dilengkapi fitur anti-analisis seperti:-
Anti-debug (menghindari proses debugging)
-
Anti-VM (tidak aktif saat dijalankan di mesin virtual)
-
Anti-sandbox (mengetahui jika sedang diuji oleh sistem keamanan)
-
Teknik process hollowing kustom (menyembunyikan proses berbahaya di dalam proses sistem yang sah)
Semua fitur ini membuat GOGLoader mampu melewati banyak solusi keamanan endpoint seperti antivirus atau EDR.
-
Detail Teknis GOGLoader
1. Infrastruktur Command & Control (C2)
GOGLoader memiliki panel web multi-tab yang dirancang dengan rapi, terdiri dari menu seperti Clients, Payloads, Commands, Tasks, Builder, dan lainnya.
Dari sini, operator malware dapat melakukan hal-hal seperti:
-
Melihat daftar korban (bot) secara real-time.
-
Menjadwalkan perintah otomatis.
-
Mengunggah dan mengeksekusi payload baru.
-
Memblokir alamat IP milik peneliti keamanan atau sandbox.
-
Melihat peta penyebaran infeksi berdasarkan lokasi geografis.
2. Metode Eksekusi Payload
GOGLoader bisa mengeksekusi malware melalui berbagai cara:
-
Dari URL (mengunduh dan menjalankan file dari internet)
-
Dari file lokal di komputer korban
-
RUNPE – teknik injeksi kode ke proses lain agar terlihat seperti proses sah
Metode-metode ini digunakan untuk menyisipkan kode berbahaya ke memori sistem, menjalankan perintah, dan mempertahankan akses ke perangkat korban.
3. Manipulasi Memori
Malware ini juga mengubah izin pada area memori (misalnya dari RX menjadi RW) untuk bisa menulis dan menjalankan kode berbahaya secara diam-diam.
Selain itu, GOGLoader menggunakan named pipe untuk berkomunikasi secara tersembunyi antarproses — teknik yang biasanya digunakan oleh kelompok APT (Advanced Persistent Threat) tingkat tinggi.
4. Mekanisme Persistensi dan Pengintaian
GOGLoader mencari folder seperti:
AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
untuk membuat dirinya aktif kembali setiap kali komputer dihidupkan.
Ia juga mencari file DLL yang bisa “dihijack” (diganti atau ditimpa) di folder pengguna agar bisa menyusup ke sistem secara permanen.
Temuan Menarik dari Penelitian ThreatMon
-
Shadow DLL Override
GOGLoader memindai direktori pengguna untuk mencari file DLL dengan nama umum (misalnya kernel32.dll). Jika menemukan versi yang bisa ditimpa, malware akan memanfaatkannya untuk menjalankan kode jahat melalui mekanisme pemuatan DLL Windows. -
Integrasi dengan Telegram Bot
Operator bisa menghubungkan GOGLoader ke bot Telegram. Setiap kali ada komputer baru terinfeksi, notifikasi langsung dikirim melalui Telegram. -
Kontrol Perintah Dinamis
Malware ini memungkinkan operator untuk menjalankan tugas otomatis begitu korban terhubung ke C2 server. Misalnya, memperbarui malware, memperkuat persistensi, atau mengunduh payload tambahan.
Indikator Kompromi (IOCs)
Peneliti ThreatMon menemukan sejumlah tanda yang bisa digunakan untuk mengenali GOGLoader, seperti:
Alamat IP dan Domain yang Digunakan:
-
IP:
45.129.185.58 -
Domain:
api.ipify.org,api.telegram.org
Hash File (SHA256):
Beberapa hash file teridentifikasi sebagai versi GOGLoader dan payload .NET-nya.
Rekomendasi Pertahanan
Untuk mencegah atau mendeteksi GOGLoader, organisasi disarankan untuk:
-
Gunakan EDR/XDR yang dapat menganalisis aktivitas memori, bukan hanya file.
-
Terapkan aturan YARA atau Sigma untuk mendeteksi tanda-tanda GOGLoader dari laporan teknis ThreatMon.
-
Pantau eksekusi modul .NET yang tidak biasa di sistem Anda.
-
Awasi lalu lintas keluar yang mencurigakan menuju Telegram atau layanan IP discovery seperti api.ipify.org.
-
Terapkan application allowlisting, yaitu hanya mengizinkan aplikasi resmi untuk berjalan di lingkungan kerja.
Kesimpulan
GOGLoader menunjukkan bagaimana penjahat siber terus berinovasi dengan cara yang semakin licik.
Dengan desain hybrid, kemampuan anti-analisis, dan fitur otomatisasi tinggi, malware ini menjadi ancaman serius bagi banyak perusahaan.
Organisasi perlu memperkuat pertahanan mereka dengan pemantauan berbasis perilaku, analisis memori, dan prosedur deteksi real-time agar serangan semacam ini tidak berkembang lebih jauh.
Untuk analisis teknis lengkap — termasuk disassembly, taktik penghindaran, dan tanda deteksi detail — pembaca dapat mengakses laporan lengkap GOGLoader dari ThreatMon.
Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan threatmon indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman.
Hubungi kami sekarang atau kunjungi threatmon.ilogoindonesia.com untuk informasi lebih lanjut!