Daftar Isi

 

ClickFix Makin Viral, Serangan Malware Kini Memanfaatkan Korban untuk Menjalankannya Sendiri

Serangan siber tidak selalu membutuhkan teknik yang terlihat canggih untuk berhasil. Justru, salah satu metode yang sedang berkembang menunjukkan bahwa manusia masih menjadi salah satu titik terlemah dalam keamanan digital.

Salah satunya adalah ClickFix, teknik serangan yang memanfaatkan instruksi palsu agar korban secara sukarela menjalankan perintah berbahaya di komputer mereka sendiri. Teknik ini kini semakin luas digunakan untuk menyebarkan berbagai jenis malware, bahkan mulai menyasar pengguna Windows dan macOS.

Bagi penyerang, ClickFix menawarkan keuntungan besar. Mereka tidak harus selalu menyediakan infrastruktur rumit untuk membuat korban mengunduh dan memasang program berbahaya. Sebaliknya, korban dibuat percaya bahwa mereka sedang mengikuti langkah perbaikan atau verifikasi yang sah.

Begitu korban menjalankan perintah tersebut, proses infeksi dapat dimulai.

Inilah yang membuat ClickFix begitu berbahaya. Serangan tersebut tidak hanya mengandalkan kelemahan sistem, tetapi juga memanfaatkan kepercayaan dan kebiasaan pengguna ketika berhadapan dengan pesan error, halaman verifikasi, atau instruksi teknis.

Sebelum ClickFix, penyerang harus bekerja lebih keras

Untuk memahami mengapa ClickFix menjadi populer, kita perlu melihat bagaimana penyerang mendistribusikan malware sebelumnya.

Sebelum menggunakan teknik tersebut, kelompok kriminal siber perlu menyiapkan infrastruktur yang cukup kompleks agar malware mereka terlihat meyakinkan dan bisa menjangkau korban.

BlueVoyant, perusahaan keamanan yang meneliti kampanye terkait, menyebut malware yang dilacak sebagai Lorem Ipsum. Dalam penyebarannya, penyerang sebelumnya membutuhkan berbagai komponen pendukung, termasuk portal unduhan yang dimanipulasi melalui SEO, iklan berbahaya atau malvertising, sertifikat tanda tangan digital yang dipercaya Microsoft, hingga domain yang terus-menerus diganti untuk mendistribusikan paket Microsoft Installer.

Semua itu membutuhkan waktu, biaya, dan sumber daya.

Sertifikat yang dipercaya sistem operasi, misalnya, dapat membantu membuat sebuah installer terlihat lebih legitimate. Domain yang terus diganti juga diperlukan agar infrastruktur penyerang tidak mudah diblokir.

Namun, ClickFix mengubah model tersebut secara signifikan.

ClickFix membuat korban menjalankan malware sendiri

Menurut BlueVoyant, pergeseran menuju ClickFix yang mulai terlihat pada akhir Mei 2026 menghilangkan kebutuhan terhadap code-signing dalam model serangan tertentu.

Alih-alih membuat installer berbahaya terlihat resmi, penyerang menggunakan bentuk legitimasi yang berbeda: korban sendiri yang menjalankan perintah tersebut melalui terminal.

Ini merupakan perubahan penting.

Dalam skenario ClickFix, pengguna biasanya diarahkan untuk melakukan tindakan tertentu yang terlihat seperti bagian dari proses pemecahan masalah. Misalnya, halaman web dapat menampilkan pesan bahwa ada sesuatu yang perlu diperbaiki atau diverifikasi.

Korban kemudian diberi instruksi untuk menyalin sebuah perintah dan menjalankannya.

Dari sudut pandang korban, tindakan tersebut mungkin terasa seperti langkah teknis biasa.

Namun, di baliknya, perintah tersebut dapat digunakan untuk mengunduh, memasang, atau menjalankan malware.

Model seperti ini membuat batas antara “pengguna sedang memperbaiki masalah” dan “pengguna sedang menjalankan malware” menjadi sangat tipis.

Baca juga : Android Kini Bisa Memindahkan Login Antar Password Manager dengan Lebih Aman

Targetnya tidak lagi harus mencari aplikasi tertentu

Salah satu keuntungan terbesar ClickFix bagi penyerang adalah jangkauan korban yang lebih luas.

Sebelum model ini digunakan secara luas, kampanye tertentu mungkin harus menargetkan pengguna yang memang sedang mencari aplikasi atau layanan tertentu. Misalnya, pengguna yang mencari Microsoft Teams dapat diarahkan ke situs unduhan palsu atau halaman yang telah dimanipulasi.

ClickFix dapat memperluas cakupan tersebut.

Menurut BlueVoyant, model ini memungkinkan penyerang menyasar siapa saja yang mengunjungi situs yang telah dikompromikan.

Artinya, korban tidak harus sedang mencari software tertentu.

Mereka bisa saja hanya membuka sebuah situs web yang telah disusupi. Jika halaman tersebut menampilkan instruksi ClickFix, pengguna yang tidak menyadari risikonya dapat mengikuti langkah yang diberikan.

Inilah salah satu alasan mengapa teknik tersebut berpotensi menyebar dengan cepat.

Semakin banyak situs yang disusupi, semakin besar pula jumlah pengguna yang dapat melihat instruksi palsu tersebut.

Pengguna Mac juga tidak otomatis aman

Kalau selama ini ada anggapan bahwa serangan malware semacam ini lebih identik dengan Windows, pengguna macOS sebaiknya tidak terlalu santai.

Perusahaan keamanan Mac Jamf dan seorang peneliti keamanan telah mendokumentasikan variasi ClickFix yang menargetkan macOS.

Yang lebih mengkhawatirkan, beberapa variasi tersebut dilaporkan mampu melewati perlindungan Gatekeeper.

Gatekeeper merupakan salah satu mekanisme keamanan di macOS yang dirancang untuk membantu mencegah pengguna menjalankan aplikasi yang tidak dipercaya. Namun, ClickFix menunjukkan bahwa sistem keamanan tidak selalu cukup jika pengguna sendiri diarahkan untuk menjalankan perintah yang dianggap sah.

Ini memperlihatkan sebuah persoalan penting dalam keamanan komputer modern.

Perlindungan sistem operasi memang terus berkembang, tetapi penyerang juga mencari cara untuk mengubah perilaku pengguna menjadi bagian dari rantai serangan.

Infrastruktur serangan juga semakin kreatif

ClickFix bukan satu-satunya hal yang berkembang. Cara penyerang menyimpan atau mengelola infrastruktur mereka juga semakin beragam.

Cisco Talos menemukan kampanye yang memanfaatkan layanan publik, termasuk dokumen Google Sheets yang dipublikasikan secara terbuka.

Menggunakan layanan publik sebagai bagian dari infrastruktur serangan dapat memberikan keuntungan bagi pelaku karena lalu lintas yang menuju layanan tersebut tidak selalu terlihat mencurigakan sejak awal.

Pelaku lainnya bahkan menggunakan teknologi blockchain dan smart contract sebagai bagian dari infrastruktur kendali mereka.

Salah satu kelompok yang disebut dalam informasi tersebut adalah Sandworm, kelompok yang dikaitkan dengan aktivitas siber negara Rusia.

Perusahaan keamanan Netskope juga menemukan kampanye yang menggunakan pendekatan serupa.

Skala kampanye tersebut menunjukkan betapa luasnya jangkauan teknik ini. Netskope mencatat sekitar 5.400 situs yang melakukan beaconing ke infrastruktur terkait.

Angka tersebut menggambarkan bahwa ini bukan sekadar eksperimen kecil dari segelintir penyerang.

Teknik seperti ClickFix telah berkembang menjadi metode distribusi malware yang memiliki potensi jangkauan besar.

Pertahanan terus berkembang, tetapi penyerang ikut beradaptasi

Masalah lain yang membuat ClickFix sulit diberantas adalah sifat serangan siber yang terus berubah.

Ketika sistem operasi memperkuat perlindungannya, penyerang mencari celah baru.

Ketika browser meningkatkan mekanisme keamanan, pelaku mengubah cara halaman berbahaya ditampilkan.

Ketika domain diblokir, mereka dapat menggunakan domain lain atau memanfaatkan layanan publik.

Bahkan ketika sistem memperingatkan pengguna agar tidak menjalankan perintah mencurigakan, penyerang bisa mencoba membuat perintah tersebut terlihat seperti instruksi resmi.

Dengan kata lain, keamanan siber bukan perlombaan yang memiliki garis finis.

Pertahanan harus terus diperbarui karena teknik serangan juga terus berevolusi.

ClickFix menjadi contoh jelas bahwa sebuah metode tidak harus mengeksploitasi kerentanan teknis yang sangat rumit untuk menjadi efektif.

Kadang-kadang, cukup membuat pengguna percaya bahwa mereka sedang melakukan sesuatu yang aman.

Ada alat yang dapat membantu memblokir ClickFix

Kabar baiknya, pengguna tidak sepenuhnya tidak berdaya.

Sejumlah software dan mekanisme keamanan telah mulai dirancang atau diperbarui untuk menghadapi teknik semacam ini.

Salah satu contohnya adalah BlockBlock, perangkat lunak untuk macOS yang memonitor proses yang berusaha memasang dirinya secara permanen di sistem.

Dalam konteks ClickFix, BlockBlock dapat membantu mendeteksi atau memblokir aktivitas berbahaya ketika pengguna menjalankan tindakan tertentu, termasuk saat menekan kombinasi tombol Command dan V untuk melakukan paste.

uBlock juga telah mendapatkan pembaruan yang dirancang untuk membantu menghadapi pola serangan serupa.

Namun, keberadaan software keamanan bukan berarti pengguna boleh mengabaikan kewaspadaan.

Tidak ada alat yang seharusnya dianggap sebagai perlindungan mutlak.

Jangan asal menjalankan perintah dari internet

Salah satu kebiasaan paling penting untuk menghadapi ClickFix sebenarnya sangat sederhana: jangan sembarangan menyalin dan menjalankan perintah dari halaman web.

Terminal memang merupakan fitur normal dan sangat berguna. Administrator sistem, developer, teknisi, hingga pengguna biasa dapat menggunakannya untuk berbagai kebutuhan.

Masalahnya bukan pada terminal.

Masalahnya adalah ketika pengguna menjalankan perintah yang tidak mereka pahami hanya karena sebuah halaman web mengatakan bahwa tindakan tersebut diperlukan.

Kalau sebuah situs tiba-tiba meminta pengguna membuka Terminal lalu menempelkan perintah panjang untuk memperbaiki browser, memverifikasi akun, memasang update, atau mengatasi error, sebaiknya berhenti terlebih dahulu.

Cari tahu apa perintah tersebut.

Jika tidak memahami fungsinya, jangan jalankan.

Dan jika instruksi tersebut muncul secara tiba-tiba ketika sedang mengunjungi situs yang tidak dikenal, tingkat kewaspadaan harus lebih tinggi lagi.

Edukasi pengguna menjadi pertahanan yang sangat penting

ClickFix juga memberikan pelajaran bahwa keamanan siber tidak cukup hanya mengandalkan antivirus, browser, firewall, atau sistem operasi.

Pengguna tetap menjadi bagian penting dari sistem pertahanan.

Masalahnya, tidak semua orang memiliki pengetahuan keamanan yang sama. Ada anggota keluarga, teman, atau rekan kerja yang mungkin tidak terbiasa melihat perintah terminal atau memahami bagaimana malware bekerja.

Karena itu, pengguna yang lebih memahami keamanan digital dapat membantu orang-orang di sekitarnya.

Bukan dengan menyalahkan ketika mereka menjadi korban, tetapi dengan memberikan pemahaman sederhana tentang tanda-tanda serangan.

Misalnya, jangan asal menjalankan perintah dari internet, jangan memasukkan password ke halaman yang mencurigakan, jangan memasang aplikasi dari sumber tidak jelas, dan jangan mengabaikan peringatan keamanan hanya karena ingin segera menyelesaikan masalah.

Pendekatan tersebut jauh lebih efektif daripada mempermalukan korban.

ClickFix kemungkinan belum akan hilang

Popularitas ClickFix menunjukkan bahwa metode tersebut bekerja dengan baik bagi penyerang.

Modelnya relatif efisien, tidak selalu membutuhkan infrastruktur distribusi tradisional yang mahal, dan dapat memanfaatkan kelemahan paling klasik dalam keamanan komputer: kepercayaan manusia.

Bahkan ketika Windows, macOS, browser, dan perusahaan keamanan terus meningkatkan pertahanan, penyerang akan mencari cara baru untuk mengelabui pengguna.

Karena itu, ClickFix kemungkinan bukan tren singkat yang akan hilang dalam waktu dekat.

Justru, teknik semacam ini dapat menjadi semakin beragam dan muncul dengan berbagai kemasan baru.

Kesimpulannya, ancaman terbesar dari ClickFix bukan hanya malware yang berada di balik perintah tersebut. Bahaya sebenarnya terletak pada bagaimana malware itu dibuat terlihat seperti solusi.

Jadi, ketika sebuah situs mengatakan “salin perintah ini lalu jalankan di Terminal untuk memperbaiki masalah”, jangan buru-buru menekan Enter.

Berhenti sebentar, periksa sumbernya, pahami apa yang akan dijalankan, dan kalau ragu, jangan lakukan.

Di era serangan siber yang semakin pintar, kemampuan untuk tidak mengklik dan tidak menjalankan sesuatu secara sembarangan bisa menjadi salah satu bentuk pertahanan paling sederhana sekaligus paling penting.