Bayangkan sebuah komputer di kantor dinas yang tidak pernah dipakai membuka situs aneh, tidak pernah memasang aplikasi bajakan, tetapi tetap bisa disusupi malware. Itulah gambaran yang muncul dari temuan terbaru Kaspersky: sebuah rangkaian infeksi yang dinilai "sangat canggih" menyasar komputer Windows milik instansi pemerintah di Asia, dan kali ini jalur masuknya bukan email phishing biasa, melainkan folder pembaruan Windows itu sendiri.

Bagi pengelola TI pemda, desa, sekolah, dan instansi lain, kasus ini penting bukan karena nama malwarenya, tetapi karena polanya: penyerang memakai perangkat lunak sah sebagai kamuflase, lalu bersembunyi di direktori yang biasanya dianggap "aman" oleh tim IT.

Apa yang Ditemukan Peneliti

Peneliti Kaspersky mempublikasikan analisis mengenai kerangka pemuat assembly .NET yang sebelumnya belum terdokumentasi, diberi nama NetamLoader. Sasaran yang terlihat adalah sebuah build Windows 10 khusus yang hanya dipakai lingkungan pemerintahan di kawasan Asia, bukan Windows 10 edisi ritel.

Beberapa poin penting dari laporan tersebut:

• Sampel ditemukan pada paruh pertama 2026, dikemas dalam arsip CAB dan diletakkan di direktori yang biasa menyimpan paket pembaruan sistem operasi Windows.
• Lokasi penanamannya tercatat di C:\Windows\SoftwareDistribution\Download\ dengan nama folder berupa deretan hash, lalu isinya diekstrak ke subfolder Install.
• Arsip berisi tujuh file. Empat di antaranya adalah komponen sah dari Patch My PC, perangkat lunak manajemen endpoint. Hanya satu file, Resources.resx, yang benar-benar menyimpan kode berbahaya.
• Teknik utamanya adalah AppDomainManager injection, cara menyisipkan pemuatan assembly .NET lewat file konfigurasi aplikasi sehingga kode jahat berjalan di dalam proses aplikasi yang tampak normal.
• Belum ada atribusi ke kelompok penyerang tertentu, dan belum jelas apakah insiden ini mengenai lebih dari satu sistem atau sempat mencuri data sensitif.
• Kaspersky menduga operasi ini melibatkan serangan rantai pasok (supply chain), yakni pihak ketiga yang dipercaya dibobol lebih dulu agar pengguna hilirnya ikut terkena.

Bagaimana Rantai Infeksinya Bekerja

Alurnya dibuat berlapis supaya sulit dikenali. File PatchMyPC-ScriptRunner.exe dijalankan sebagai pemicu awal. File konfigurasinya dipakai untuk menyuntikkan muatan, yang kemudian memuat Microsoft.HostIntegration.Connectors.dll. DLL itu membaca fabric.config di folder yang sama, lalu membuka Resources.resx yang berisi beberapa lapis muatan terenkode, terkompresi, dan terenkripsi.

Lapisan berikutnya mencakup sejumlah file XAML. Salah satunya berfungsi menembus Antimalware Scan Interface (AMSI), mekanisme pemindaian yang biasa dipakai antivirus di Windows. Muatan inti kemudian berjalan di dalam proses dllhost.exe, mengumpulkan informasi sistem dari Windows Registry, dan menunggu jeda acak 20 sampai 40 menit sebelum menghubungi server kendali (C2) di domain openaigpt4v[.]com.

Setelah terhubung, malware masuk ke pola komunikasi berkala: jika menerima respons valid, ia berhenti 5-6 menit lalu meminta perintah lagi; jika tidak, ia menunggu 22-28 jam. Sebelum itu, jejaknya dibersihkan, termasuk file hasil ekstraksi arsip, log penggunaan CLR, dan cache Prefetch Windows. Jeda panjang dan pembersihan jejak inilah yang membuat deteksi manual oleh staf IT sangat sulit.

Kenapa Ini Relevan untuk Instansi di Indonesia

Build Windows yang disasar memang edisi khusus pemerintah, dan Kaspersky hanya mengonfirmasi satu korban. Namun pola serangannya tidak eksklusif untuk satu negara. Banyak instansi di Indonesia masih menjalankan Windows 10 yang dukungan utamanya sudah berakhir sejak 14 Oktober 2025, sering tanpa anggaran pembaruan, dengan aplikasi pihak ketiga untuk manajemen endpoint yang dipasang oleh vendor berbeda-beda.

Kombinasi itu menciptakan tiga celah yang sama: sistem operasi yang tidak lagi menerima perbaikan rutin, rantai pasok perangkat lunak yang jarang diperiksa integritasnya, dan folder pembaruan Windows yang dianggap "tidak perlu diawasi" oleh tim TI.

Langkah Praktis yang Bisa Dijalankan Minggu Ini

1. Inventarisasi agen manajemen endpoint. Catat semua perangkat lunak yang memasang agen, menjalankan skrip, atau menyebarkan pembaruan di komputer instansi. Pastikan asal-usulnya, versi, dan siapa vendornya. Perangkat lunak sah tetap bisa dipakai sebagai kamuflase, jadi yang perlu dipastikan adalah integritas paketnya.
2. Awasi folder pembaruan. Periksa isi C:\Windows\SoftwareDistribution\Download secara berkala. Folder dengan nama hash acak, arsip CAB berisi kombinasi file .exe, .dll, dan .config yang tidak berasal dari pembaruan resmi adalah tanda bahaya.
3. Blokir domain C2 di tingkat jaringan. Tambahkan openaigpt4v[.]com ke daftar blokir DNS, firewall, atau proxy kantor. Untuk instansi dengan router terpusat, satu aturan blokir berlaku untuk semua perangkat.
4. Jangan andalkan antivirus bawaan saja. Aktifkan EDR atau solusi yang memantau perilaku proses, khususnya aktivitas pemuatan assembly .NET dari folder sistem dan eksekusi tidak wajar di dllhost.exe.
5. Terapkan prinsip hak akses minimum. Staf layanan publik tidak perlu hak administrator. Pembatasan ini memutus banyak rantai infeksi di langkah pertama.
6. Rencanakan keluar dari Windows 10. Instansi yang masih memakai Windows 10 sebaiknya menyusun jadwal migrasi ke Windows 11 atau memanfaatkan program Extended Security Updates, bukan menunda tanpa batas.
7. Siapkan pemulihan, bukan hanya pencegahan. Cadangkan data aplikasi layanan publik secara terpisah dan uji proses pemulihannya. Serangan yang berhasil menghapus jejak akan jauh lebih mahal jika tidak ada cadangan bersih.

Pelajaran yang Lebih Luas

Kaspersky menutup analisisnya dengan catatan yang relevan bagi banyak negara: makin banyak pemerintah membangun platform perangkat lunak sendiri, mulai dari sistem operasi, basis data, middleware, sampai layanan cloud. Keuntungannya adalah kendali penuh; konsekuensinya, seluruh ekosistem itu harus dijaga sendiri, dan membangun kemampuan operasional serta pemeliharaan yang matang membutuhkan waktu panjang.

Untuk instansi dengan tim TI kecil, kesimpulannya sederhana: keamanan bukan soal memasang satu antivirus, tetapi soal mengetahui apa saja yang berjalan di komputer, dari mana asalnya, dan siapa yang boleh mengubahnya. Folder pembaruan Windows yang terlihat sepele hari ini bisa menjadi pintu masuk yang paling tidak dicurigai besok.

Sumber: The Hacker News — NetamLoader Malware Targets Government Windows 10 Systems in Asia via .NET Injection, Kaspersky Securelist — NetamLoader, MITRE ATT&CK T1574.014: AppDomainManager Injection.