Di tengah meningkatnya ancaman siber tahun 2025, muncul sebuah alat berbahaya baru bernama Retro-C2. Malware ini dikembangkan oleh seorang aktor ancaman berbahasa Turki yang dikenal dengan nama ZeroTrace.
Retro-C2 bukan sekadar Trojan biasa. Ia merupakan Remote Access Trojan (RAT) sekaligus infostealer — artinya, malware ini bisa mengendalikan komputer dari jarak jauh dan mencuri data penting dari pengguna.
Yang membuatnya lebih berbahaya, Retro-C2 dibuat dengan bahasa C++, memiliki desain modular (mudah dikembangkan), dan disediakan secara gratis di GitHub serta Telegram, sehingga siapa pun — bahkan penjahat siber pemula — bisa menggunakannya.
Apa yang Membuat Retro-C2 Istimewa dan Berbahaya?
Retro-C2 dirancang agar ringan, fleksibel, dan sangat sulit dideteksi.
Struktur utamanya terdiri dari:
-
Payload Windows terenkripsi (kode berbahaya yang dijalankan di komputer korban)
-
Server Command & Control (C2) berbasis web yang dibuat dengan bahasa Go
Dengan kombinasi ini, peretas dapat mengakses komputer korban secara real-time langsung dari browser melalui panel web yang terlihat seperti aplikasi admin biasa.
Beberapa fitur unggulan Retro-C2 meliputi:
-
Eksekusi di Memori (In-Memory Execution)
Malware berjalan langsung di RAM menggunakan teknik Reflective DLL Loading, sehingga tidak meninggalkan file di hard disk. -
Bypass Antivirus dan EDR
Retro-C2 menggunakan teknik direct syscall (dikenal sebagai Tartarus Gate) untuk menghindari deteksi antivirus dan EDR. -
Enkripsi Payload ChaCha20
Kode malware dienkripsi dan hanya didekripsi saat dijalankan, membuatnya tidak terlihat saat diam. -
Pencurian Data (Credential Theft)
Retro-C2 bisa mencuri password, cookies, dan data pembayaran dari browser. -
Kontrol Penuh atas Komputer Korban
Malware ini dapat:-
Mengakses desktop korban dari jarak jauh
-
Merekam ketikan (keylogger)
-
Menyadap suara dari mikrofon
-
Mengambil isi clipboard (salinan teks yang disimpan pengguna)
-
Menjalankan skrip dan mengubah pengaturan registry
-
Dengan fitur selengkap itu, Retro-C2 selevel dengan alat spionase siber yang biasa digunakan oleh kelompok hacker negara (APT) — namun di sini, alat ini bebas diunduh siapa saja.
Bagaimana Cara Retro-C2 Bekerja?
Payload dan Loader
Retro-C2 memuat sebuah DLL terenkripsi ke dalam memori komputer korban.
DLL ini tidak langsung didekripsi, melainkan hanya ketika server C2 mengirim perintah.
Dengan cara ini, malware tidak terdeteksi saat sedang “diam”.
Direct Syscalls
Biasanya, malware menggunakan fungsi Windows standar (API). Tapi Retro-C2 langsung berinteraksi dengan sistem operasi di level bawah (syscall), sehingga antivirus yang memantau API tidak bisa melihat aktivitasnya.
Panel Kontrol Web
Retro-C2 memiliki panel web modern yang memudahkan operator untuk:
-
Membuka reverse shell (akses terminal ke komputer korban)
-
Melihat tampilan layar korban secara langsung
-
Menyadap mikrofon
-
Memindai dompet kripto seperti MetaMask dan Trust Wallet
-
Mengatur file, proses, registry, dan jaringan komputer korban
Mekanisme Persistensi
Agar tetap aktif di sistem korban, Retro-C2 menggunakan berbagai cara:
-
Menambahkan perintah di Registry Run Keys
-
Menyalin file ke folder Startup
-
Membuat tugas terjadwal (Scheduled Task)
-
Menginstal dirinya sebagai layanan Windows (Windows Service)
Dengan metode ini, malware akan otomatis aktif setiap kali komputer dihidupkan.
Distribusi Terbuka, Senjata yang Cepat Menyebar
Hal paling mengejutkan dari Retro-C2 adalah cara penyebarannya.
ZeroTrace memiliki grup Telegram berisi lebih dari 250 anggota yang menjadi pusat distribusi malware ini.
Melalui grup tersebut, siapa pun bisa mengunduh builder Retro-C2, yaitu alat yang membuat file malware dengan sangat mudah — hanya butuh alamat IP dan port server, dan payload siap digunakan.
Akses gratis seperti ini menjadikan Retro-C2 ancaman besar, karena:
-
Siapa pun bisa membuat versinya sendiri.
-
Peretas lain bisa menambah fitur baru (berkat desain modular).
-
Malware bisa berkembang cepat dalam waktu singkat.
Cara Mendeteksi dan Mencegah Retro-C2
Untuk melindungi diri dari ancaman seperti Retro-C2, organisasi dan pengguna dapat melakukan langkah-langkah berikut:
-
Gunakan EDR/XDR yang bisa mendeteksi aktivitas aneh di memori (seperti reflective loading atau syscall tidak biasa).
-
Terapkan pengamanan browser, misalnya dengan tidak menyimpan kata sandi atau data pembayaran secara otomatis.
-
Gunakan Multi-Factor Authentication (MFA) untuk mencegah akses tidak sah.
-
Pantau aktivitas mencurigakan pada clipboard, mikrofon, dan proses sistem.
-
Gunakan aturan YARA dari ThreatMon untuk mengenali tanda-tanda keberadaan Retro-C2 di komputer.
Kesimpulan
Retro-C2 menggambarkan evolusi baru malware modern: open-source, modular, dan sangat licik.
Teknologi yang dulu hanya bisa digunakan kelompok hacker tingkat tinggi kini tersedia secara bebas, sehingga ancamannya meningkat tajam.
Dengan kemampuan seperti pengendalian jarak jauh, pencurian data, dan teknik anti-deteksi, Retro-C2 menjadi tantangan serius bagi tim keamanan di seluruh dunia.
Organisasi harus lebih proaktif — memperbarui sistem deteksi, memantau perilaku mencurigakan, dan meningkatkan kesadaran keamanan siber di semua level.
Laporan teknis lengkap dari ThreatMon menyediakan analisis mendalam dan tanda-tanda deteksi (IOC) yang bisa membantu tim keamanan untuk mendeteksi dan menghentikan Retro–C2 sebelum menimbulkan kerusakan lebih besar.
Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan threatmon indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman.
Hubungi kami sekarang atau kunjungi threatmon.ilogoindonesia.com untuk informasi lebih lanjut!