Malware tidak selalu membuat perangkat langsung rusak. Ada yang membaca foto untuk mencari frasa pemulihan dompet, menumpang installer aplikasi, atau mengubah website menjadi jalur penipuan. Cara masuk dan akibatnya berbeda, sehingga penanganannya juga perlu mengikuti tempat malware bekerja.
Artikel ini merangkum 37 entri temuan, varian, kampanye, dan kasus infeksi dari laporan primer periode 2025 sampai 18 Oktober 2026. SparkCat, LummaStealer, NimDoor, dan DollyWay termasuk contohnya. Setiap entri menjelaskan apa yang ditemukan, cara kerjanya, dan batas bukti yang tersedia. Angka tersebut menghitung entri, bukan jumlah keluarga malware unik atau peringkat yang paling banyak menginfeksi.
Cari berdasarkan perangkat atau platform
Tidak perlu membaca semuanya dari awal. Pilih perangkat yang Anda gunakan; pemilik website dapat langsung membuka bagian malware pada website.
| Bagian | Yang dibahas |
|---|---|
| Android | APK, izin Accessibility, foto, perbankan, dan firmware |
| iOS dan iPhone | Aplikasi pencuri data serta muatan dari rantai eksploit |
| Windows | Pencuri informasi, loader, dan ransomware |
| Mac dan macOS | Installer palsu, pencurian data, dan backdoor |
| Linux, server, dan cloud | Akses jarak jauh, cryptominer, dan layanan terbuka |
| Malware pada Website | Redirect, plugin palsu, webshell, dan basis data |
| Paket aplikasi dan proses build | Paket npm, komputer pengembang, dan sistem CI |
| Langkah awal | Tindakan sesuai lokasi dugaan infeksi |
Bagaimana daftar ini diverifikasi?
Rujukannya berasal dari advisori FBI/CISA/MS-ISAC, Google Threat Intelligence Group, Microsoft, serta tim riset keamanan seperti ESET, Kaspersky, Unit 42, Check Point, Jamf, dan Sucuri. Laporan dipilih karena menjelaskan sampel, telemetri, atau kasus yang dianalisis. Publikasi riset pada situs vendor diterima berdasarkan bukti tersebut; artikel ini tidak memakai klaim promosi vendor sebagai ukuran perlindungan terbaik.
Tahun laporan tidak selalu sama dengan tahun kemunculan malware. SparkCat dan Auto-Color, misalnya, diungkap dalam laporan 2025 tetapi memiliki jejak lebih awal. Keluarga lama dimasukkan ketika laporan pada periode ini membahas varian, operasi, atau sisa infeksinya. Temuan yang baru sebatas sampel, seperti PromptSpy dan VoidLink pada laporan awal, diberi keterangan tersendiri.
Daftar ini merupakan pilihan luas dari riset yang dapat diperiksa, bukan inventaris seluruh malware dunia. Nama berbeda juga dapat dipakai peneliti untuk komponen atau kampanye yang saling berkaitan. Uraiannya merangkum riset pihak yang disebut, bukan klaim bahwa saya menjalankan atau menguji semua sampel tersebut.
Cara kerja malware: pahami perannya dahulu
Malware adalah perangkat lunak berbahaya yang dapat mencuri informasi, mengganggu sistem, atau menjalankan tindakan tanpa izin. Beberapa istilah menjelaskan fungsi, bukan nama keluarga. Microsoft menjelaskan kategori dasar malware.
| Istilah | Artinya bagi pengguna |
|---|---|
| Stealer | Mencuri informasi, misalnya kata sandi atau data dompet. |
| RAT / backdoor | Memberikan akses jarak jauh yang tidak sah. |
| Ransomware | Memeras korban, biasanya dengan mengenkripsi atau mencuri data. |
| Rootkit | Membantu menyembunyikan aktivitas berbahaya di dalam sistem. |
| Cryptominer berbahaya | Menggunakan sumber daya perangkat untuk menambang kripto tanpa izin. |
| Loader | Menjalankan atau mengunduh muatan berbahaya berikutnya. |
| Webshell | Memberi akses penyerang melalui kode pada server web. |
| C2 | Server atau mekanisme untuk mengirim perintah kepada malware. |
Dalam daftar berikut, perhatikan urutannya: jalur masuk, kode yang berjalan, akses yang diperoleh, lalu tindakan yang dilakukan. Ada kasus yang berhenti pada satu fungsi; ada pula yang memakai beberapa komponen. Contohnya, OXLOADER mengantar CASTLESTEALER, sementara Coruna mengantar muatan pada iPhone rentan. Memahami peran itu membantu menghindari kesimpulan bahwa semua nama dalam satu serangan merupakan malware yang sama.
Malware Android
Pada Android, perbedaannya bukan hanya nama aplikasi. Beberapa kasus bergantung pada izin yang diberikan pengguna, sedangkan kasus firmware dan eksploitasi menyentuh bagian sistem yang lebih dalam. Fakta bahwa APK dapat dipasang tidak menunjukkan bahwa APK tersebut aman.
SparkCat
Laporan 5 Februari 2025; aktivitas ditelusuri sejak Maret 2024. Android dan iOS.
SparkCat memakai OCR, yaitu pengenalan teks dalam gambar, untuk mencari foto berisi frasa pemulihan dompet kripto. Setelah memperoleh akses galeri, komponen berbahaya mengirim gambar terpilih ke penyerang. Kaspersky menemukan aplikasi terkait di Google Play dan App Store. Kedua toko menindak aplikasi yang dilaporkan setelah pengungkapan. Kaspersky Securelist: SparkCat.
SparkKitty
Laporan 23 Juni 2025; jejak aktivitas sejak setidaknya Februari 2024. Android dan iOS.
Jika SparkCat memilah gambar berdasarkan teksnya, SparkKitty mengumpulkan foto dari galeri secara lebih luas. Malware meminta akses foto, memantau gambar, lalu mengunggahnya ke server penyerang. Peneliti menduga pencurian aset kripto menjadi salah satu tujuannya, tetapi tujuan itu tidak membuktikan bahwa setiap foto yang diambil berisi data dompet. Kasusnya melibatkan aplikasi dari berbagai jalur distribusi, termasuk toko resmi. Foto pribadi tetap menjadi data sensitif meskipun tidak memuat kata sandi. Kaspersky Securelist: SparkKitty.
Crocodilus
Diungkap pada Maret 2025. Trojan perbankan Android.
Crocodilus menyalahgunakan layanan Accessibility untuk membaca tampilan dan membantu penyerang mengendalikan ponsel. Malware dapat menampilkan lapisan login palsu di atas aplikasi keuangan. Pengguna juga dapat dibujuk membuka frasa pemulihan dompet dengan alasan perlu membuat cadangan. Informasi yang tampak di layar kemudian dicuri. Kampanye awal yang dianalisis menargetkan pengguna di Spanyol dan Turki; temuan itu bukan ukuran jumlah korban di Indonesia. ThreatFabric: Crocodilus.
RatOn
Analisis 2025; sampel yang dibahas bertanggal Juli sampai Agustus 2025.
RatOn menggabungkan kendali jarak jauh, layar palsu, dan penyalahgunaan NFC. Pada serangan relay, komunikasi kartu nirsentuh diteruskan sehingga dapat disalahgunakan di lokasi lain. Peneliti juga menemukan otomatisasi transaksi yang ditujukan pada satu aplikasi bank tertentu. Jadi, kemampuan itu tidak boleh dibaca sebagai kemampuan membobol semua bank. Rantai infeksi yang dibahas membujuk pengguna memasang APK dan memberikan izin Accessibility. ThreatFabric: RatOn.
BTMOB
Laporan ESET 26 Mei 2026; keluarga yang sudah dikenal sebelumnya.
BTMOB merupakan trojan akses jarak jauh atau RAT. Dalam kampanye yang diteliti ESET di Brasil, halaman yang meniru toko aplikasi membantu menyebarkan APK berbahaya. Setelah memperoleh izin yang dibutuhkan, malware dapat memantau layar, mengambil data, dan memberi kendali kepada operator. Bahayanya bukan sekadar aplikasi yang mengganggu: ponsel yang tetap terlihat berfungsi dapat menjadi tempat penyerang mengamati aktivitas pemiliknya. ESET Research: BTMOB.
PromptSpy
Laporan 19 Februari 2026. Sampel terverifikasi; penyebaran luas belum terbukti.
PromptSpy menggunakan Gemini untuk menafsirkan tampilan Android dan membantu aplikasi tetap berada dalam daftar aplikasi terkini. Fungsi utama malware tetap berupa akses jarak jauh melalui VNC. Ini contoh pemanfaatan AI untuk satu bagian operasi, bukan bukti bahwa seluruh serangan berjalan mandiri. Saat laporan terbit, ESET belum melihatnya dalam telemetri deteksi mereka dan menyebut kemungkinan purwarupa. Skala penyebarannya belum dapat ditentukan dari temuan tersebut. ESET Research: PromptSpy.
Hirudo
Aktivitas yang dianalisis: Agustus sampai Oktober 2026. Relevan untuk Indonesia.
Hirudo memakai umpan pembaruan aplikasi palsu dan mencoba mengganti aplikasi bank dengan salinan yang telah dimodifikasi. Pemeriksaan keamanan pada salinan tersebut diubah untuk membantu pencurian kredensial dan kendali jarak jauh. ThreatFabric menemukan aplikasi bank Indonesia dalam rangkaian ini. Yang diserang adalah aplikasi dan perangkat pengguna melalui salinan berbahaya; temuan itu tidak dengan sendirinya menunjukkan bahwa sistem pusat bank telah dibobol. ThreatFabric: Hirudo.
Triada: varian dalam firmware
Laporan 25 April 2025. Varian baru dari keluarga lama.
Triada pada laporan ini sudah tertanam dalam firmware beberapa perangkat Android palsu sebelum digunakan pembeli. Firmware adalah perangkat lunak dasar yang menjalankan perangkat. Malware menyusup ke proses yang menjadi asal banyak aplikasi, lalu memuat modul untuk mencuri atau memanipulasi data. Karena letaknya lebih dalam daripada aplikasi biasa, menghapus satu aplikasi belum tentu menanganinya. Temuan ini tidak berlaku untuk seluruh ponsel Android atau semua perangkat murah. Kaspersky Securelist: Triada: varian dalam firmware.
Keenadu
Laporan 17 Februari 2026. Backdoor Android dengan beberapa jalur distribusi.
Keenadu ditemukan melalui firmware, aplikasi sistem, dan aplikasi yang beredar lewat Google Play. Penempatan dan kemampuan tiap komponen berbeda. Aktivitas yang diamati terutama berkaitan dengan penipuan iklan, termasuk menghasilkan interaksi yang tidak benar-benar dilakukan pengguna. Akses backdoor membuka risiko lebih luas. Namun, pencurian kredensial dibahas sebagai kemungkinan risiko, bukan aktivitas utama yang sudah diamati dalam laporan ini. Kaspersky Securelist: Keenadu.
Operation NoVoice
Laporan Maret 2026. Nama kampanye, bukan satu aplikasi.
Kampanye ini menyamarkan malware sebagai aplikasi seperti pembersih, gim, atau galeri. Setelah memeriksa kondisi perangkat, komponen berbahaya mencoba memanfaatkan celah lama yang belum ditambal untuk memperoleh akses root, yaitu hak istimewa tingkat sistem. Akses tersebut memungkinkan perubahan yang lebih dalam daripada izin aplikasi biasa. Risiko bergantung pada perangkat dan tingkat pembaruannya; laporan ini bukan bukti bahwa semua versi Android dapat diambil alih dengan cara yang sama. McAfee Labs: Operation NoVoice.
Malware iOS dan iPhone
Pembatasan platform tidak menghilangkan semua jalur serangan. SparkCat dan SparkKitty juga mencakup iOS; penjelasannya ada di entri SparkCat dan SparkKitty. Di bawah ini, aplikasi pengarah phishing dibedakan dari malware yang dikirim melalui eksploit versi iOS tertentu.
FakeWallet
Laporan 20 April 2026; aktivitas terkait ditelusuri ke akhir 2025. Juga ditemukan pada Android.
Kaspersky menemukan aplikasi phishing di App Store yang mengarahkan pengguna ke halaman tiruan toko aplikasi. Dari sana, korban diarahkan memperoleh dompet kripto yang telah dimodifikasi untuk mencuri frasa pemulihan atau kunci privat. Jadi, aplikasi pengarah dan dompet pencuri merupakan bagian yang berbeda. Sampel Android ditemukan pada situs phishing terkait; itu tidak membuktikan dompet berbahaya yang sama tersedia di Google Play. Kaspersky Securelist: FakeWallet.
PLASMAGRID melalui Coruna
Laporan 3 Maret 2026; kampanye diamati sejak 2025.
Coruna adalah kumpulan eksploit untuk memasuki iPhone yang rentan. Salah satu malware yang dikirim melalui rantai tersebut ialah PLASMAGRID, yang menargetkan informasi finansial, termasuk data terkait dompet kripto. Riset Google membahas iOS 13.0 sampai 17.2.1 dan distribusi melalui website. Batas versi itu penting: membaca berita tentang Coruna tidak berarti semua iPhone terbaru rentan. Celah untuk masuk dan program yang mencuri data harus dibedakan. Google Threat Intelligence Group: PLASMAGRID melalui Coruna.
GHOSTBLADE, GHOSTKNIFE, dan GHOSTSABER
Laporan 18 Maret 2026; penggunaan DarkSword teramati sejak November 2025.
DarkSword merupakan rantai eksploit untuk iOS 18.4 sampai 18.7 pada kasus yang dianalisis. Muatannya berbeda: GHOSTBLADE mengumpulkan data perangkat; GHOSTKNIFE memiliki modul pencurian pesan, data browser, dan perekaman audio; GHOSTSABER merupakan backdoor untuk mengambil data serta menjalankan JavaScript. Ketiganya ditemukan pada kampanye berbeda. Rentang versi ini menjelaskan temuan historis, bukan kondisi seluruh iPhone saat ini. Google Threat Intelligence Group: GHOSTBLADE, GHOSTKNIFE, dan GHOSTSABER.
Malware Windows
Pada kelompok ini, ada malware yang langsung mengambil informasi dan ada komponen yang menyiapkan jalan bagi serangan berikutnya. Ransomware menambah dampak lain: kehilangan akses terhadap file dan tekanan pemerasan.
LummaStealer / LummaC2
Laporan 21 Mei 2025. Keluarga lama yang aktif dalam kampanye 2025.
Lumma mencuri informasi seperti kata sandi tersimpan, cookie browser, dan data dompet. Salah satu jalur penyebarannya ialah ClickFix: halaman palsu membujuk pengguna menjalankan perintah dengan alasan menyelesaikan CAPTCHA atau memperbaiki masalah. Perintah itu justru memulai infeksi. Cookie yang dicuri juga dapat membahayakan sesi akun, sehingga penanganan tidak cukup hanya melihat apakah file malware sudah terhapus. Tidak semua korban masuk melalui jalur yang sama. Microsoft Threat Intelligence: LummaStealer / LummaC2.
Medusa ransomware
Advisori 12 Maret 2025; keluarga teridentifikasi sejak Juni 2021.
Medusa memakai pemerasan ganda: data dicuri, lalu file dienkripsi dan korban ditekan dengan ancaman publikasi data. Advisori gabungan membahas phishing serta eksploitasi celah sebagai jalur awal yang digunakan pelaku. Dampaknya dapat mengenai operasi organisasi, bukan hanya satu dokumen. Nama ini perlu dibaca dengan cermat: Medusa ransomware berbeda dari MedusaLocker dan malware Android yang juga memakai nama Medusa. FBI, CISA, dan MS-ISAC: Medusa ransomware.
VanHelsing
Laporan 23 Maret 2025; sampel ditemukan pada Maret 2025.
VanHelsing muncul sebagai layanan ransomware yang dapat digunakan afiliasi penyerang. Sampel Windows yang dianalisis mengenkripsi file dan menghasilkan pesan tebusan. Peneliti menemukan beberapa varian pada tahap awal operasinya. Iklan pelaku menyebut dukungan untuk platform lain, tetapi klaim pemasaran penyerang tidak setara dengan analisis sampel. Karena itu, entri ini ditempatkan di Windows tanpa menganggap semua platform yang diiklankan sudah terverifikasi. Check Point Research: VanHelsing.
OysterLoader
Entri Microsoft diterbitkan 24 Juli 2025 dan diperbarui pada September 2025.
OysterLoader menyebar melalui installer yang tampak seperti aplikasi populer. Paket berbahaya bahkan dapat menjalankan aplikasi asli untuk membuat proses terlihat wajar, sambil memasang backdoor. Komponen tersebut mengumpulkan informasi perangkat dan memungkinkan pengunduhan muatan lain. Tugas terjadwal membantu mempertahankan akses. Melihat aplikasi yang diharapkan benar-benar terbuka, dengan demikian, belum membuktikan bahwa installer yang dipakai aman. Microsoft Security Intelligence: OysterLoader.
Argamal
Laporan 3 Juni 2026; ditemukan pada April 2026.
Argamal disisipkan ke dalam gim dewasa yang dibagikan dalam bentuk paket terinfeksi. Setelah dijalankan, sebagian rantai berbahaya menunggu sebelum mengaktifkan tahap berikutnya. Penundaan itu dapat membuat hubungan antara pemasangan gim dan gejala infeksi kurang terlihat. Muatan akhirnya berupa RAT untuk kendali jarak jauh. Contoh ini menunjukkan mengapa aplikasi yang tampak normal pada hari pertama belum tentu bebas dari komponen berbahaya. Kaspersky Securelist: Argamal.
OXLOADER dan CASTLESTEALER
Laporan 19 Juni 2026; kampanye iklan teramati pada April 2026.
Dalam rantai ini, iklan unduhan Node.js palsu membawa pengguna ke installer berbahaya. OXLOADER bertugas menjalankan tahap berikutnya, termasuk CASTLESTEALER yang berfungsi mencuri informasi. Kedua nama itu menunjukkan peran berbeda: loader membuka jalan, sedangkan stealer mengambil data. Yang dibahas adalah penyamaran distribusi, bukan bukti bahwa installer resmi Node.js telah disusupi. Pengguna perlu memeriksa alamat sumber, bukan hanya logo yang terlihat. Elastic Security Labs: OXLOADER dan CASTLESTEALER.
Malware Mac dan macOS
Beberapa kampanye Mac bergantung pada rasa percaya terhadap aplikasi, kontak, atau pembaruan yang terlihat wajar. Perhatikan apa yang diminta pengguna jalankan dan dari mana berkas itu berasal.
FrigidStealer
Laporan 18 Februari 2025; aktivitas teramati pada Januari 2025.
FrigidStealer menargetkan Mac melalui umpan pembaruan browser palsu pada website yang disusupi. Setelah korban mengunduh dan menjalankan programnya, malware meminta kata sandi lalu mengumpulkan cookie browser, catatan Apple Notes, serta berkas tertentu terkait kata sandi atau kripto. Kasus ini melibatkan eksekusi program, bukan sekadar melihat gambar peringatan. Pembaruan sebaiknya dimulai dari aplikasi atau kanal resmi, bukan dari pesan mendadak di website lain. Proofpoint: FrigidStealer.
NimDoor
Laporan 2 Juli 2025; analisis mencakup insiden April 2025.
Rantai NimDoor memakai penyamaran kontak dan ajakan pertemuan untuk membujuk target menjalankan pembaruan Zoom palsu. Beberapa komponen kemudian mempertahankan akses dan mengambil data, termasuk kredensial Keychain, data browser, serta Telegram. Sasaran yang diteliti berkaitan dengan bisnis Web3 dan kripto. Nama NimDoor merujuk pada keluarga komponen yang dianalisis; keberadaan Zoom dalam umpan tidak berarti aplikasi Zoom resmi mengandung malware ini. SentinelLABS: NimDoor.
MacSync
Laporan 22 Desember 2025. Perubahan cara distribusi pada keluarga yang sudah dikenal.
Varian ini dikemas sebagai aplikasi Swift bertanda tangan digital dan telah lolos pemeriksaan notarization Apple pada saat dianalisis. Installer yang menyerupai aplikasi percakapan mengunduh dan menjalankan tahap pencurian informasi tanpa meminta korban menempelkan perintah ke Terminal. Jamf kemudian melaporkan bahwa identitas penandatangan terkait telah dicabut. Kasus ini menunjukkan bahwa pemeriksaan tanda tangan adalah salah satu lapisan perlindungan, bukan jaminan mutlak bahwa setiap aplikasi aman. Jamf Threat Labs: MacSync.
PamStealer
Laporan 2 Juli 2026. Pencuri informasi untuk macOS.
PamStealer memakai aplikasi tiruan yang menyerupai pengelola clipboard Maccy. AppleScript menjalankan tahap lanjutan berbasis Rust, sementara dialog menipu pengguna agar memberikan kata sandi login Mac. Malware memeriksa kata sandi tersebut melalui mekanisme autentikasi sistem, lalu memakainya dalam rangkaian pencurian data. Yang dibahas ialah penyamaran aplikasi, bukan temuan bahwa proyek resmi Maccy telah terinfeksi. Jamf Threat Labs: PamStealer.
CloudSyncD
Laporan 30 September 2026; sampel diteliti pada September 2026.
CloudSyncD bersembunyi dalam installer Zoom palsu. Paket ini memancing kata sandi pengguna dan memasang komponen backdoor untuk komunikasi dengan server operator. Jamf mengamati perkembangan sampel dari tahap yang masih dikembangkan ke konfigurasi dengan infrastruktur kendali aktif. Perubahan itu mendukung analisis kesiapan operasinya, tetapi tidak membuktikan bahwa jumlah korban sudah besar. Nama layanan yang terasa akrab dapat dipakai untuk menyamarkan tujuan program. Jamf Threat Labs: CloudSyncD.
Malware Linux, server, dan cloud
Bagian ini mencakup malware Linux serta satu kampanye layanan server/cloud yang tidak memberikan rincian lengkap sistem operasi korbannya. Komputer Linux pribadi dan server yang terbuka ke internet tidak otomatis menghadapi kondisi yang sama.
Auto-Color
Laporan Februari 2025; sampel diamati pada November sampai Desember 2024.
Auto-Color memberi penyerang akses jarak jauh ke sistem Linux. Dalam penelitian Unit 42, target terkait institusi pendidikan dan pemerintah di Amerika Utara serta Asia. Malware memakai nama yang tidak mencolok dan teknik penyamaran untuk mempertahankan operasi. Jalur awal yang membuat program itu sampai ke perangkat belum diketahui dalam laporan pertama. Laporan tersebut belum dapat memastikan apakah jalurnya berupa phishing, akses SSH, atau eksploitasi celah tertentu. Palo Alto Networks Unit 42: Auto-Color.
Koske
Laporan 24 Juli 2025. Rantai serangan Linux dengan cryptominer.
Dalam kasus Koske, akses awal berkaitan dengan JupyterLab yang salah dikonfigurasi. Penyerang memakai berkas yang dapat terlihat seperti gambar sekaligus membawa kode, lalu menjalankan muatan untuk menyembunyikan aktivitas dan menambang kripto. Daya komputasi server akhirnya dipakai tanpa izin pemilik. Ini tidak berarti membuka sembarang gambar panda akan menginfeksi komputer: rantai yang dianalisis sudah melibatkan akses ke server dan eksekusi kode. Aqua Nautilus: Koske.
KSwapDoor
Pembaruan laporan Desember 2025. Ditemukan dalam serangan terkait React2Shell.
KSwapDoor menyediakan akses jarak jauh, menjalankan perintah, dan mengelola file pada sistem yang disusupi. Malware membangun komunikasi antarmesin serta menyamarkan diri seperti proses sistem. Unit 42 mengoreksi identifikasi awal yang sebelumnya mengarah ke BPFDoor. React2Shell sendiri adalah nama celah atau rangkaian eksploit terkait React Server Components, bukan nama malware. Tidak semua website yang memakai React otomatis memiliki kondisi rentan yang sama. Palo Alto Networks Unit 42: KSwapDoor.
VoidLink
Laporan 13 Januari 2026; sampel ditemukan pada Desember 2025.
VoidLink merupakan kerangka malware modular untuk Linux yang mengenali lingkungan cloud dan container. Komponennya mendukung akses jangka panjang serta pengambilan kredensial, termasuk yang berkaitan dengan cloud dan pengembangan perangkat lunak. Namun, pada laporan awal, peneliti belum menemukan bukti infeksi di dunia nyata. Entri ini merupakan analisis sampel dan kemampuan, bukan pengumuman wabah yang sudah terbukti meluas. Check Point Research: VoidLink.
PoeLLM: server dan layanan cloud
Laporan Oktober 2026; aktivitas ditelusuri sejak April 2026.
PoeLLM menyerang layanan yang terekspos dan rentan, termasuk pemasangan LiteLLM, Ollama, Gotenberg, serta Gitea. Sistem yang dikuasai dipakai menambang kripto dan memindai calon korban berikutnya. Malware memperoleh alamat kendali dari kata-kata dalam puisi yang disimpan di GitHub. Laporan berfokus pada layanan server dan memuat analisis berkas program berformat ELF; pembagian korbannya menurut setiap sistem operasi tidak disediakan. Ini bukan kasus semua instalasi produk tersebut otomatis terinfeksi. Lumen Black Lotus Labs: PoeLLM: server dan layanan cloud.
Malware pada Website
Pada website, kode berbahaya dapat berada di file, plugin, atau basis data. Ada yang mengendalikan server; ada pula yang mengubah apa yang diterima pengunjung. Karena itu, tampilan yang kembali normal belum cukup untuk menentukan seluruh infeksi sudah hilang.
DollyWay
Laporan 25 Maret 2025. Kampanye lama yang diteliti kembali pada 2025.
DollyWay memakai website WordPress yang disusupi untuk mengarahkan pengunjung ke tujuan penipuan. JavaScript dan sistem pembagian lalu lintas menentukan ke mana pengunjung dikirim. Website korban juga dapat menjadi bagian dari jaringan pengendali kampanye. Akibatnya, pemilik tidak cukup memeriksa tampilan halaman depan: website yang masih terlihat normal dapat ikut menjalankan fungsi berbahaya di belakangnya. Entri ini bukan klaim bahwa DollyWay baru muncul pada 2025. GoDaddy Security: DollyWay.
Balada Injector dan Sign1
Laporan 2026 tentang temuan sepanjang 2025. Banyak deteksi merupakan sisa infeksi lama.
Laporan GoDaddy mencatat sisa infeksi Balada Injector dan Sign1 pada website yang diperiksa selama 2025. Balada dapat meninggalkan kode dan backdoor di beberapa bagian WordPress. Sign1 dikenal menyimpan kode berbahaya dalam basis data melalui komponen pengelolaan kode. Laporan tersebut tidak membuktikan kampanye baru terus berlangsung sepanjang 2026. Pelajarannya lebih spesifik: berhentinya suatu kampanye tidak otomatis menghapus kode yang sudah tertanam di website korban. GoDaddy Security: Balada Injector dan Sign1.
Plugin palsu BelovedPBN
Laporan penanganan insiden 16 Juni 2026. Kasus WordPress.
Pada kasus ini, plugin palsu menyisipkan konten jarak jauh dan menanam dua webshell yang memanfaatkan basis data WordPress. Webshell adalah kode yang memberi penyerang akses pengelolaan melalui server web. Penempatan di basis data membuat pemeriksaan file saja tidak mencakup seluruh tempat persembunyiannya. Nama BelovedPBN di sini merujuk pada komponen dalam kasus yang dianalisis, bukan bukti bahwa semua plugin untuk kebutuhan SEO berbahaya. Sucuri: Plugin palsu BelovedPBN.
SC WordPress backdoor
Laporan 30 September 2026. Infeksi dengan komponen yang saling memulihkan.
Sucuri menemukan jaringan loader dan backdoor yang tersebar pada file, basis data, serta komponen WordPress lain. Sebagian komponen dapat memulihkan bagian yang dihapus, sehingga malware tampak kembali setelah pembersihan parsial. Penyamarannya mencakup plugin dan berkas yang tampak berkaitan dengan cache. Istilah pemulihan otomatis di sini menjelaskan hubungan antarkomponen, bukan kemampuan ajaib. Menemukan satu file berbahaya belum berarti seluruh jalur akses penyerang sudah tertutup. Sucuri: SC WordPress backdoor.
Injeksi JavaScript dengan JSFireTruck
Laporan 2025. Kampanye website; JSFireTruck adalah teknik penyamaran kode.
Unit 42 meneliti JavaScript berbahaya yang disamarkan dengan pola JSFireTruck. Kode memeriksa asal kunjungan, lalu mengarahkan sebagian pengunjung ke halaman lain. Itu menjelaskan mengapa membuka URL langsung bisa memberi hasil berbeda dari membukanya melalui mesin pencari. JSFireTruck sendiri bukan nama satu keluarga malware, dan teknik penyamaran kode tidak selalu digunakan untuk kejahatan. Yang berbahaya adalah kode serta perilaku pengalihan dalam kampanye yang dianalisis. Palo Alto Networks Unit 42: Injeksi JavaScript dengan JSFireTruck.
Backdoor dan loader setelah PolyShell
Serangan dan temuan muatan pada Maret 2026. Magento / Adobe Commerce.
PolyShell adalah celah keamanan, bukan nama malware. Dalam rangkaian serangannya, Sansec melaporkan backdoor pada server dan loader JavaScript yang dimasukkan ke blok konten toko. Artinya, pemeriksaan perlu membedakan akses penyerang di sisi server dari kode yang dikirim kepada pengunjung. Nama celah saja belum menjelaskan muatan yang terpasang atau data yang terdampak. Kondisi tiap toko harus diperiksa, bukan disimpulkan hanya dari platform yang digunakan. Sansec: Backdoor dan loader setelah PolyShell.
Malware pada paket aplikasi dan proses build
Website juga bergantung pada alat pembuatnya. Infeksi dapat bermula pada paket yang dipasang pengembang atau mesin yang membangun aplikasi, sebelum hasilnya diterbitkan. Kedua contoh berikut berkaitan dengan rantai pasok perangkat lunak.
Shai-Hulud
Kampanye 2025, termasuk gelombang yang dibahas pada November 2025.
Shai-Hulud menyebar melalui paket npm yang telah disusupi. Saat kode berbahaya dijalankan dalam proses pemasangan, malware mencari kredensial dan token yang dapat membuka akses ke layanan pengembangan atau cloud. Akses penerbitan paket juga membantu penyebarannya. Sasaran langsungnya dapat berupa komputer pengembang dan mesin CI, yaitu sistem yang otomatis membangun atau menguji aplikasi. Memakai website hasil suatu proyek tidak otomatis sama dengan menjalankan paket berbahaya tersebut. Palo Alto Networks Unit 42: Shai-Hulud.
ChainDrop
Kampanye aktif sejak 4 Agustus 2026 menurut Unit 42.
ChainDrop menggunakan paket npm sebagai jalur pencurian kredensial dan penyebaran lanjutan. Token npm, akses GitHub, kunci SSH, dan rahasia layanan cloud menjadi sasaran yang relevan. Mesin CI juga dapat menyimpan akses bernilai tinggi untuk penerbitan aplikasi. Menghapus paket terinfeksi saja belum menangani kredensial yang telanjur diambil. Pemeriksaan perlu mencakup mesin yang menjalankan paket serta pencabutan atau penggantian akses yang terdampak. Palo Alto Networks Unit 42: ChainDrop.
Langkah awal jika mencurigai infeksi
Daftar nama membantu memahami risiko, tetapi tidak dapat mendiagnosis perangkat dari satu gejala. Cocokkan tindakan dengan tempat masalah ditemukan. Jangan mengunduh “pembersih” dari pop-up yang baru saja menakut-nakuti Anda.
Android, iPhone, Windows, dan Mac
- Android: aktifkan Play Protect, periksa pembaruan keamanan, dan hapus aplikasi tidak tepercaya. Jika gejala tetap ada, ikuti panduan produsen atau bantuan teknis yang sesuai. Panduan Google untuk Android.
- iPhone: periksa pembaruan melalui pengaturan perangkat dan gunakan daftar rilis keamanan Apple untuk informasi resmi. Rentang versi pada laporan lama tidak menggantikan pemeriksaan pembaruan saat ini.
- Windows dan Mac: periksa perangkat lunak serta ekstensi yang tidak dipercaya, lakukan pemeriksaan keamanan, dan perbarui sistem. Untuk Mac, jangan mengabaikan peringatan aplikasi hanya karena installer meminta Anda melakukannya. Panduan Google untuk komputer dan panduan aplikasi Mac dari Apple.
Server, cloud, dan paket pengembangan
Untuk server, sampaikan temuan kepada administrator atau tim keamanan yang mengelolanya. Catat layanan yang terekspos, perubahan yang tidak dikenal, dan waktu gejala mulai terlihat. Bukti perlu dinilai bersama log dan kondisi sistem, bukan hanya berdasarkan nama proses.
Pada insiden paket, periksa versi yang terpasang dan mesin yang menjalankannya. Batasi hak akses token, tinjau akses aplikasi, dan gunakan penerbitan tepercaya ketika tersedia. Jika ada indikasi kredensial telah dicuri, mengganti paket tidak menggantikan kebutuhan menangani akses tersebut. Panduan keamanan rantai pasok GitHub.
WordPress, toko online, dan website lain
Catat URL, waktu, dan kondisi saat gejala muncul. Misalnya, apakah redirect hanya terjadi saat dibuka dari Google atau apakah akun administrator baru muncul tanpa sepengetahuan Anda. Simpan salinan file, basis data, dan log yang tersedia sebelum perubahan besar, lalu koordinasikan pemeriksaan dengan pengelola hosting. Panduan WordPress untuk website yang diretas menekankan dokumentasi, pemeriksaan, cadangan, dan pengamanan kembali akses.
Jika ada peringatan Google, periksa laporan Masalah Keamanan di Search Console. Peninjauan diminta setelah masalah terkait ditangani. Hilangnya peringatan dan pemulihan hasil pencarian tidak boleh dianggap sebagai hasil instan dari menghapus satu file.
Untuk memahami lingkup pemeriksaan sebelum memesan, baca penjelasan jasa malware removal website. Jika kekhawatirannya berhubungan dengan kredensial yang beredar, panduan pemantauan data bocor membahas masalah yang berbeda dari pembersihan kode website.
Pertanyaan yang sering diajukan
Apakah semua malware dalam daftar ini baru muncul pada 2025-2026?
Tidak. Daftar ini mencakup malware yang baru dilaporkan, varian baru, kampanye keluarga lama, dan sisa infeksi yang masih ditemukan. Tanggal laporan dan jejak aktivitas dijelaskan pada tiap entri. Batas riset artikel adalah 18 Oktober 2026.
Apakah iPhone dan Mac bisa terkena malware?
Bisa, tetapi jalurnya berbeda menurut kasus. SparkCat melibatkan akses foto dalam aplikasi, sedangkan Coruna dan DarkSword memanfaatkan celah pada versi iOS tertentu. Pada Mac, beberapa kasus menggunakan installer atau pembaruan palsu. Temuan tersebut tidak berarti semua perangkat Apple memiliki kerentanan yang sama.
Apakah website terkena malware berarti ponsel pengunjung langsung terinfeksi?
Tidak selalu. Website yang disusupi dapat mengalihkan pengunjung, menampilkan phishing, atau mengirim kode berbahaya. Infeksi perangkat bergantung pada muatan, tindakan pengguna, izin, dan kerentanan yang tersedia. Kondisi website dan perangkat pengunjung perlu diperiksa sebagai dua hal yang berbeda.
Apakah menghapus aplikasi atau plugin yang mencurigakan sudah cukup?
Belum tentu. Sebagian infeksi meninggalkan komponen lain atau telah mencuri kredensial. Kasus SC WordPress dan ChainDrop memperlihatkan alasan pemeriksaan perlu melampaui satu file atau paket. Tindakan pemulihan mengikuti temuan dan lokasi akses penyerang.
Apakah jasa malware removal di sini juga membersihkan Android, iPhone, Windows, atau Mac?
Tidak. Layanan yang ditawarkan khusus pemeriksaan dan pembersihan malware website sesuai lingkup yang disepakati. Pembahasan malware perangkat pribadi dalam artikel ini bersifat edukatif. Untuk kasus website, mulai dari halaman layanan malware removal website.
