Malware GhostPoster Incar 17 Ekstensi Firefox, Cek Daftarnya Segera | NNC Netralnews

Sebuah kampanye serangan siber canggih bernama Malware GhostPoster telah teridentifikasi menyusup ke dalam puluhan ribu perangkat pengguna melalui celah yang tidak terduga.

Berdasarkan laporan terbaru dari peneliti keamanan di Koi Security yang dirilis pada Rabu, 17 Desember 2025, ancaman ini memiliki metode penyamaran yang sangat rapi.

Para pelaku kejahatan siber menyembunyikan kode JavaScript berbahaya di dalam file gambar logo ekstensi Firefox, sebuah teknik yang dikenal sebagai steganografi.

Teknik manipulasi ini memungkinkan peretas untuk memantau aktivitas penjelajahan pengguna secara diam-diam dan menanamkan akses pintu belakang (backdoor) dengan hak istimewa.

Penemuan ini menjadi peringatan keras bagi ekosistem digital, mengingat popularitas ekstensi yang sering digunakan untuk mempermudah produktivitas justru dimanfaatkan sebagai vektor serangan.

Cara Kerja Licik Malware GhostPoster

Modus operandi yang digunakan oleh Malware GhostPoster terbilang cukup unik dan sulit dideteksi oleh sistem keamanan standar.

Para penyerang menyisipkan kode berbahaya ke dalam file PNG yang tampak seperti logo ekstensi biasa, sehingga tidak menimbulkan kecurigaan saat diunduh.

Skrip tersebut berfungsi sebagai loader tersembunyi yang bertugas mengambil muatan utama atau payload dari server jarak jauh milik peretas.

Demi menghindari deteksi dari sistem pemantauan otomatis, malware ini dirancang dengan mekanisme penghindaran atau evasion yang cerdas.

Muatan berbahaya hanya akan diunduh sekali dari sepuluh kali percobaan koneksi, membuat pola lalu lintas datanya terlihat tidak konsisten dan sulit dilacak.

Selain itu, terdapat mekanisme aktivasi tertunda di mana loader baru akan aktif 48 jam setelah ekstensi diinstal oleh pengguna.

Setelah aktif, script akan mencoba menghubungi domain yang telah diprogram secara spesifik, dan jika gagal, ia memiliki cadangan domain kedua untuk memastikan koneksi tetap terjalin.

Daftar Ekstensi Firefox yang Terinfeksi

Menurut temuan Koi Security, terdapat setidaknya 17 ekstensi populer yang telah terinfeksi oleh kampanye Malware GhostPoster ini.

Total unduhan dari gabungan ekstensi tersebut diperkirakan telah mencapai lebih dari 50.000 pengguna di seluruh dunia.

Berikut adalah daftar ekstensi yang teridentifikasi mengandung kode berbahaya dan harus diwaspadai:

- free-vpn-forever

- screenshot-saved-easy

- weather-best-forecast

- crxmouse-gesture

- cache-fast-site-loader

- freemp3downloader

- google-translate-right-clicks

- world-wide-vpn

- dark-reader-for-ff

- translator-gbbd

- ad-stop

- right-click-google-translate

Meskipun tidak semua ekstensi di atas menggunakan rantai pemuatan payload yang persis sama, semuanya diketahui berkomunikasi dengan infrastruktur server yang identik.

Hal ini mengindikasikan bahwa serangan ini dikoordinasikan oleh satu kelompok aktor ancaman yang sama atau entitas yang saling berafiliasi.

Risiko dan Dampak Bagi Pengguna

Muatan berbahaya yang dibawa oleh Malware GhostPoster memiliki kapabilitas yang sangat merugikan bagi privasi dan kenyamanan pengguna internet.

Salah satu fungsi utamanya adalah mengambil alih tautan afiliasi di situs-situs e-commerce besar untuk keuntungan finansial peretas.

Selain itu, malware ini mampu menyuntikkan pelacak Google Analytics ke setiap halaman web yang dikunjungi korban untuk memanen data perilaku.

Lebih mengkhawatirkan lagi, kode jahat ini dapat menghapus header keamanan dari semua respons HTTP, membuat pertahanan browser menjadi lebih lemah.

Sistem ini juga dilengkapi kemampuan untuk melewati verifikasi CAPTCHA dengan menggunakan tiga mekanisme berbeda secara otomatis.

Pelaku juga menyuntikkan iframe tak terlihat untuk melakukan penipuan iklan (ad fraud) dan penipuan klik (click fraud) yang akan menghapus dirinya sendiri secara otomatis setelah 15 detik.

Meskipun saat ini belum ditemukan indikasi pencurian kata sandi secara langsung, keberadaan akses backdoor ini tetap menjadi ancaman serius.

Potensi bahaya bisa meningkat drastis sewaktu-waktu jika operator serangan memutuskan untuk mengganti payload dengan fungsi yang lebih destruktif.

Langkah Mitigasi dan Rekomendasi Keamanan

Menanggapi temuan ini, para ahli keamanan siber sangat menyarankan pengguna untuk segera mengambil tindakan preventif.

Langkah pertama yang wajib dilakukan adalah memeriksa daftar ekstensi yang terpasang dan segera menghapus nama-nama yang tercantum dalam daftar infeksi di atas.

Pengguna juga disarankan untuk melakukan reset kata sandi (password) untuk akun-akun penting, seperti email perbankan dan media sosial, sebagai langkah berjaga-jaga.

Memantau aktivitas browser dan akun online secara berkala juga diperlukan untuk mendeteksi adanya tanda-tanda penyalahgunaan data.

Hingga berita ini ditulis, pihak Mozilla belum memberikan komentar resmi terkait insiden ini, namun diharapkan tindakan pembersihan di Firefox Add-Ons segera dilakukan.