Sebuah operasi pencurian data global berskala besar baru-baru ini berhasil diungkap. Para peneliti keamanan siber menemukan jenis malware baru bernama Omnistealer yang secara khusus menyasar para pengembang perangkat lunak serta pekerja lepas. Modus serangannya adalah melalui tawaran pekerjaan palsu yang disebarkan di platform profesional seperti LinkedIn dan GitHub.
Serangan siber ini dinilai berpotensi menimbulkan dampak serius, sebanding dengan insiden WannaCry yang pernah mengguncang dunia. Keunikan Omnistealer terletak pada penggunaan teknologi blockchain publik. Teknologi ini tidak hanya dimanfaatkan untuk transaksi pembayaran, tetapi juga menjadi bagian integral dari sistem pengiriman kode berbahaya malware tersebut, seperti dilaporkan oleh detikINET dari Techspot pada Rabu (1/4/2026).
Menurut Nick Smart, Chief Intelligence Officer di Crystal Intelligence, rancangan Omnistealer tampak sederhana dalam pemicuannya namun sangat kompleks secara teknis. Proses awalnya melibatkan korban yang diminta untuk menjalankan sepotong kode yang terlihat normal dan tidak mencurigakan.
Setelah kode awal dieksekusi, sistem akan terhubung ke blockchain TRON atau Aptos untuk membaca data tersembunyi. Data ini kemudian akan mengarahkan sistem korban ke Binance Smart Chain guna mengambil kode berbahaya final. Begitu payload terakhir berhasil dieksekusi, malware ini akan segera menguras hampir seluruh isi perangkat yang terinfeksi.
Skala Kerugian dan Sasaran Utama Omnistealer
Tim Ransom-ISAC menemukan bahwa Omnistealer memiliki kemampuan untuk menargetkan lebih dari 60 ekstensi dompet kripto populer, termasuk MetaMask dan Coinbase. Selain dompet kripto, malware ini juga menyasar lebih dari 10 pengelola kata sandi, berbagai browser web terkemuka seperti Chrome dan Firefox, serta layanan penyimpanan awan seperti Google Drive.
Hingga saat ini, para penyelidik telah mengaitkan sekitar 300.000 kredensial yang berhasil dicuri dari operasi ini. Data yang bocor meliputi informasi sensitif dari berbagai entitas, mulai dari firma keamanan siber, perusahaan pertahanan, hingga lembaga pemerintah di sejumlah negara.
Strategi Penyerangan dan Target Demografis
Pelaku kejahatan siber menggunakan dua strategi penyerangan utama. Pertama, mereka menyamar sebagai perekrut dari perusahaan-perusahaan ternama, menawarkan kontrak kerja untuk proyek uji coba. Kedua, mereka berpura-pura menjadi pengembang freelance yang mengirimkan pull request di GitHub, padahal di dalamnya tersembunyi malware berbahaya.
Peneliti mencatat bahwa para pengembang di Asia Selatan, khususnya India, menjadi sasaran utama dari serangan ini. Tingginya pertumbuhan jumlah pengembang di wilayah tersebut, ditambah dengan tingkat adopsi mata uang kripto yang masif, membuat tawaran pekerjaan asing dengan bayaran menggiurkan seringkali sulit untuk diabaikan.
Indikasi Keterlibatan Kelompok yang Didukung Negara
Jejak digital dari infrastruktur yang digunakan dalam serangan ini mengarah pada aktivitas kelompok peretas yang diduga didukung oleh negara, khususnya Korea Utara. Penyelidik menemukan alamat IP yang berlokasi di Vladivostok, Rusia, yang sebelumnya sering kali dikaitkan dengan operasi siber yang disponsori negara tersebut.
Beberapa dompet kripto yang digunakan dalam operasi Omnistealer juga cocok dengan aset yang terlihat dalam kasus pencurian besar di bursa kripto Bybit pada awal 2025. Nick Carlsen dari TRM Labs menjelaskan bahwa tujuan utama dari operasi ini kemungkinan besar adalah finansial, untuk mendanai program militer. Selain itu, banyaknya kredensial yang dicuri juga bisa dimanfaatkan untuk membangun profil identitas palsu bagi pekerja IT Korea Utara, agar mereka dapat menembus pasar kerja internasional secara ilegal.
