Membedah "Daerah SD" (Bagian 2): Mesin di Balik Layar — Anatomi Infrastruktur Server Cheat

Ringkasan Eksekutif

Bagian pertama seri ini membedah sisi klien "Daerah SD" — installer penyamar, "driver" .sys palsu, injector, dan modul cheat di dalam proses game. Bagian kedua membalik kameranya: infrastruktur server yang membuat seluruh operasi itu tetap hidup.

Analisis dilakukan murni pasif — DNS, header HTTP, dan GET terhadap file publik. Tidak ada POST dengan data asli, tidak ada fuzzing, tidak ada eksploitasi, tidak ada aksi yang mengubah state server. Dari 12 endpoint yang di-probe, mayoritas masih hidup dan konsisten dengan hasil analisis statis bagian pertama: binary yang diunduh dari server update persis sama (SHA256 identik) dengan sampel yang dibedah kemarin.

Temuan terbesarnya: operasi ini berjalan di atas infrastruktur komersial biasa — enam penyedia hosting berbeda, sertifikat Let's Encrypt, fungsi serverless, layanan CDN — disusun dengan pola resilient hosting: tidak ada satu titik pun yang jika dimatikan akan meruntuhkan semuanya. Di sisi lain, kerapian operasional itu bocor di detail-detail kecil: manifest update tanpa tanda tangan, payload dikirim lewat HTTP polos, nama file acak per request, API lisensi yang membalas 500 saat diberi JSON rusak, dan — yang paling menarik — subdomain pembayaran yang tinggal serumah dengan server payload.

Ini bukan cerita tentang server canggih. Ini cerita tentang bagaimana infrastruktur seadanya, jika disusun dengan pola yang tepat, bisa menopang operasi crimeware selama berbulan-bulan.

1. Dari Klien ke Server: Mengapa Infrastruktur Penting

Ada asimetri yang sering luput dalam analisis malware: analis menghabiskan 90% waktu membedah binary, padahal binary hanyalah ujung tombak yang bisa diganti tiap minggu. Yang sulit diganti adalah infrastrukturnya — domain yang sudah dikenal ribuan klien, API lisensi yang terikat ke database HWID, jalur pembayaran yang terhubung ke rekening.

Bagian pertama menemukan arsitektur klien 5 tahap. Pertanyaan lanjutannya: dari mana tahap-tahap itu mengambil "perintah"? Jawabannya adalah peta berikut — hasil probe pasif 12 endpoint pada Oktober 2026.

2. Peta Infrastruktur

                    ┌─────────────────────┐
                    │     DOMAIN INDUK     │  manifest update (JSON),
                    │  (update + rilis)    │  binary rilis, changelog
                    └─────────┬───────────┘
                              │  rantai update
                              ▼
                    ┌─────────────────────┐
                    │   SERVER PAYLOAD     │  exe.php → dropper 65 KB
                    │  (multi-stage)       │  dll.php → stage-2 (.cbm)
                    └─────────┬───────────┘  filename ACAK per request
                              │
              ┌───────────────┼───────────────┐
              ▼               ▼               ▼
    ┌──────────────┐ ┌──────────────┐ ┌──────────────────┐
    │ API LISENSI  │ │ SELF-ORDER   │ │  MIRROR TOOLS    │
    │ (serverless, │ │ (QRIS, di IP │ │  (autoindex:      │
    │  POST-only)  │ │  telanjang)  │ │   bypass AV,      │
    └──────────────┘ └──────────────┘ │   remote tools)  │
                                     └──────────────────┘

Setiap peran terpisah secara hosting — dan pemisahan itu disengaja:

• Domain induk (update + rilis) — CDN komersial, IP berotasi, sertifikat wildcard — ✅ Live
• Server payload (multi-stage) — Host langsung, tanpa proxy, origin terekspos — ✅ Live
• API lisensi — Platform serverless populer — ✅ Live
• Halaman self-order — IP telanjang (tanpa domain) — ✅ Live
• Mirror tools — Shared hosting, directory listing terbuka — ✅ Live
• Domain generasi lama (v1.0) — Halaman 0 byte — konten mati — ⚠️ Zombi
• IP backend lama — Connection failed — ❌ Mati

Pola ini — separation of concerns ala arsitektur microservices, diterapkan pada crimeware — adalah alasan operasi ini sulit dimatikan: tidak ada single point of failure.

3. Rantai Update: Manifest Tanpa Tanda Tangan

Jantung distribusi adalah file manifest JSON (~300 byte) di domain induk. Isinya wajar: nomor versi, changelog ("perbaikan bug download dan peningkatan performa koneksi"), dan URL binary. Yang tidak wajar:

1. URL di manifest memakai HTTP polos. Request ke sana memang mendapat redirect 301 ke HTTPS — tetapi manifestnya sendiri tidak ditandatangani: tidak ada hash, tidak ada signature di JSON. Klien tidak punya cara memverifikasi integritas file update selain mengunduhnya. Jika jalur HTTP berhasil di-MITM sebelum redirect terjadi, payload bisa diganti di tengah jalan.
2. Binary dari server persis sama dengan sampel analisis (SHA256 identik). Ini kabar baik bagi analis — artinya sampel yang dibedah di bagian pertama adalah build resmi yang sedang didistribusikan, bukan varian aneh — dan kabar buruk bagi korban: rantai distribusinya valid dan konsisten.

Ironi yang layak dicatat: operator yang meng-obfuscate setiap binary-nya dengan serius, lalai menandatangani manifest yang mengendalikan seluruh armada kliennya. Keamanan rantai pasok mereka lebih lemah daripada keamanan binary mereka.

4. Rantai Multi-Stage: Tiga Tahap, Nama Acak Setiap Request

Analisis statis bagian pertama menemukan loader yang mengunduh dropper dari endpoint exe.php. Probe pasif memperluas rantai itu menjadi tiga tahap:

[Loader di PC korban]
        │  HTTP GET
        ▼
[exe.php] ──→ PE 65 KB ("PointBlank.exe Found", ">>> Start PointBlank now...")
        │  string di dalamnya mereferensikan:
        ▼
[dll.php] ──→ stage-2, berekstensi .cbm  ← TIDAK muncul di analisis statis loader

Endpoint dll.php tidak ditemukan dalam analisis statis loader — ia ditemukan dari string di dalam payload hasil unduhan. Artinya rantai distribusi aktual lebih panjang dari yang terlihat di binary tahap-1: analisis statis satu file tidak pernah melihat gambaran utuh.

Dua perilaku endpoint ini patut menjadi signature deteksi:

• Nama file acak per request. Setiap GET ke exe.php/dll.php mengembalikan Content-Disposition dengan filename angka acak yang berbeda (filename=8424372238.exe, lalu filename=6227289994.cbm). Ini pola anti-caching — atau penandaan per korban: server tahu persis siapa mengunduh apa, kapan.
• HTTP polos untuk payload. Dropper 65 KB dikirim tanpa TLS. Selain rentan sadap, ini juga berarti ISP atau middlebox mana pun bisa melihat dan mencatat setiap unduhan — permukaan observasi yang justru menguntungkan defender.

5. Pola Resilient Hosting: Enam Dapur, Satu Operasi

Pemetaan hosting (via header, NS record, dan Certificate Transparency) menunjukkan infrastruktur tersebar di enam penyedia berbeda: layanan CDN komersial, shared hosting lokal, platform serverless, layanan proxy, dan satu host langsung. IP domain induk berotasi (khas CDN) — kemarin 2.57.91.59, hari ini 84.32.84.71.

Tiga observasi dari sisi defensif:

1. Origin server payload terekspos. Tidak seperti domain lain yang berlindung di balik proxy, server payload menjawab langsung dengan IP aslinya. Dari kacamata takedown, ini titik paling empuk: tidak perlu berurusan dengan abuse desk layanan proxy — cukup ke pemilik host langsung.
2. Sertifikat wildcard Let's Encrypt dengan satu anomali lucu: ww.w. — kemungkinan typo saat request sertifikat. Manajemen sertifikat yang manual dan ceroboh; layak dipantau untuk typosquatting internal di masa depan.
3. Generasi lama sudah mati. Domain dan IP backend versi 1.0 tidak lagi merespons (halaman 0 byte, connection failed). Operator melakukan generational turnover: infrastruktur lama ditinggalkan begitu saja saat migrasi ke generasi baru — pola yang memudahkan analis memetakan timeline operasi.

Pelajaran umumnya: resilience mereka bukan berasal dari teknologi eksotis, melainkan dari diversifikasi penyedia komersial biasa. Mematikan satu provider tidak menghentikan operasi — tetapi memetakan semuanya memberi defender peta lengkap untuk tindakan terkoordinasi.

6. API Lisensi: Pintu yang Setengah Terbuka

API lisensi berjalan sebagai fungsi serverless dan hanya menerima POST (GET dibalas 405 "Gunakan POST"). Pengujian dibatasi pada fingerprinting protokol dan error handling — volume rendah, ±22 request berjarak, tanpa submit HWID/serial asli, tanpa brute-force.

• OPTIONS / GET — 405, Allow: POST, OPTIONS
• POST body kosong — 400 {"error":"Action wajib diisi"} — validasi input rapi
• POST JSON rusak — 500 {"error":"Invalid JSON"} — exception tidak tertangani
• 20 tebakan nama action — Semua 400 {"error":"Action tidak valid"} — tidak bisa di-enumerasi dari luar
• Rate limiting — Tidak terpicu pada 22 request berjarak 2 detik
• Cold start — ~14 detik (khas serverless), <1 detik setelahnya

Empat catatan:

1. Bug 500 pada JSON malformed — seharusnya 400. Tidak ada stack trace yang bocor di body (bagus), tetapi exception tak tertangani adalah bau kode yang patut dicurigai di endpoint lain yang tidak teruji.
2. CORS Access-Control-Allow-Origin: * dengan POST diizinkan — API lisensi dapat dipanggil dari situs web mana pun lewat browser. Untuk API yang memvalidasi lisensi berbayar, ini melonggarkan kontrol origin secara tidak perlu.
3. Tidak ada rate limiting terdeteksi pada volume uji — untuk endpoint lisensi, throttle per IP adalah pertahanan murah yang belum dipasang.
4. Nama action tidak ter-enumerasi — satu-satunya lapisan yang rapi. Nama action valid hanya ada di klien (di-XOR di dalam binary). Ini security through obscurity sebagai lapisan tambahan — boleh ada, tapi jangan diandalkan sebagai satu-satunya pertahanan.

7. Jejak Uang: Pembayaran Serumah dengan Payload

Temuan paling bernilai dari Certificate Transparency: domain yang menampung server payload (shot.*) memiliki saudara-saudara subdomain bernama payment., otp., topup., wa. — lima belas nama dalam satu sertifikat.

Satu domain melayani payload malware dan jalur pembayaran sekaligus. Dari sisi operator ini efisien; dari sisi analis ini emas:

• Korelasi identitas. Jalur pembayaran (QRIS, OTP, top-up) pada akhirnya menyentuh sistem keuangan yang teregulasi — KYC, rekening, nomor telepon. Server payload yang anonim menjadi terhubung ke identitas finansial yang tidak anonim.
• Halaman self-order di IP telanjang memajang QRIS untuk pembelian lisensi "VIP" — model bisnisnya transparan: cheat dijual seperti SaaS, lengkap dengan tier harga.
• Ini juga menjelaskan mengapa HWID dikumpulkan di begitu banyak titik (bagian pertama): HWID adalah kunci lisensi — "KTP" yang mengikat satu pembayaran ke satu mesin.

Pesan untuk defender: ikuti uangnya. Infrastruktur teknis bisa berganti domain tiap generasi, tetapi jalur pembayaran jauh lebih sulit dipindahkan — dan jauh lebih mudah dikorelasikan dengan identitas.

8. Tanda Tangan Operasi: Pola yang Berulang

Menggabungkan bagian pertama (klien) dan kedua (server), enam pola muncul konsisten di seluruh operasi "Daerah SD":

1. Operasionalisasi ala software komersial — installer, auto-update mandatory, changelog, API autentikasi, lisensi HWID, pembayaran QRIS, tier VIP. Ini bisnis, bukan hobi.
2. Masquerading di semua lapisan — "Runtime Broker", "Microsoft Corporation", ekstensi .sys palsu, version info palsu "PointBlank.exe", halaman 0 byte di domain lama. Topeng bukan fitur; topeng adalah arsitektur.
3. Evolusi terdokumentasi — Februari → September 2026: loader lokal menjadi downloader, CreateRemoteThread menjadi NtCreateThreadEx, rantai 2 tahap menjadi 3 tahap. Operator ini belajar.
4. Kecerobohan di detail kecil — manifest tanpa signature, HTTP polos, typo sertifikat, bug 500, CORS *. Kerapian mereka ada di binary; kelalaian mereka ada di server.
5. HWID sebagai tulang punggung bisnis — dikumpulkan di klien, divalidasi di API, diikat ke pembayaran. Satu identifier menghubungkan tiga lapisan operasi.
6. Infrastruktur sekali pakai — generasi lama ditinggalkan mati. Jangan berharap domain yang Anda blokir hari ini masih dipakai bulan depan; blokir polanya, bukan namanya.

9. Indikator Infrastruktur (IOC)

• Perilaku unduhan — GET ke endpoint .php mengembalikan application/octet-stream dengan filename angka acak per request
• Ekstensi aneh — Payload stage-2 berekstensi .cbm
• Rantai update — Manifest JSON tanpa hash/signature, URL update HTTP dengan redirect 301 ke HTTPS
• API lisensi — Fungsi serverless, POST-only, 400 untuk action tak dikenal, 500 untuk JSON rusak, CORS *, tanpa rate limit terdeteksi
• Sertifikat — Wildcard Let's Encrypt; anomali subdomain typo (ww.w.*); satu sertifikat menampung subdomain payment/otp/topup/wa bersama subdomain payload
• Hosting — IP domain induk berotasi (CDN); server payload origin terekspos (tanpa proxy)
• File terkait (dari Bagian 1) — *.mentah di C:\Windows\System\, C:\HWID.txt, C:\HWIDs.txt
• Hash dropper — cfbc691e…00dcf2 (PE 65 KB dari exe.php)

(Status endpoint bersifat point-in-time per Oktober 2026 dan dapat berubah sewaktu-waktu.)

10. Rekomendasi

Untuk detection engineer:

1. Kejar pola, bukan nama domain: filename acak per request + ekstensi .cbm + application/octet-stream dari endpoint .php adalah signature perilaku yang murah dideteksi di proxy/log.
2. Pantau CT log untuk subdomain baru di pola infrastruktur yang dikenal — operator mendaftarkan subdomain pembayaran dan payload dalam satu sertifikat; sertifikat baru adalah early warning.
3. Gabungkan dengan IOC Bagian 1: file *.mentah + request HTTP polos ke endpoint .php dalam window waktu yang sama adalah korelasi kuat.

Untuk tim abuse provider hosting: Infrastruktur ini 100% berjalan di layanan komersial legal. Pola "satu sertifikat untuk payload + payment/otp/topup" dan "directory listing terbuka berisi tool bypass AV" adalah sinyal abuse yang bisa dideteksi secara proaktif — bukan sekadar reaktif terhadap laporan.

Untuk pengguna: Jangan tertipu kerapian "toko"-nya. Halaman self-order yang rapi dengan QRIS, changelog yang sopan, dan version info yang meyakinkan adalah kemasan — isinya tetap: keylogger, pencuri HWID, dan tool anti-forensik yang menghapus jejak Anda sekaligus jejak mereka.

Keterbatasan

Seluruh analisis server dalam tulisan ini bersifat pasif dan read-only. Isi stage-2 (dll.php) belum diunduh/dianalisis; logika server-side (validasi lisensi, database HWID, alur pembayaran) tidak terlihat dari luar; dan status setiap endpoint dapat berubah — beberapa terbukti flaky (error 500 intermiten). Tidak dilakukan POST dengan data asli, fuzzing parameter, auth bypass, atau pengujian aktif terhadap API lisensi di luar fingerprinting protokol bervolume rendah — semua itu membutuhkan otorisasi yang tidak dimiliki penulis. Nama action valid API hanya ada di dalam binary klien dan tidak dipulihkan dalam penelitian ini.

Penutup Seri (Sementara)

Dua bagian telah memetakan "Daerah SD" dari ujung ke ujung: klien (bagaimana ia menginfeksi) dan server (bagaimana ia bertahan). Yang belum tersentuh adalah manusianya — siapa mengoperasikan, bagaimana uang mengalir, dan di mana batas antara operator, reseller, dan afiliasi. Itu wilayah investigasi yang berbeda, dengan metode yang berbeda pula.

Satu hal yang pasti dari dua bagian ini: di balik setiap cheat "canggih" ada rantai pasok yang sama rentannya dengan rantai pasok mana pun — manifest tanpa tanda tangan, HTTP polos, dan subdomain pembayaran yang terlalu jujur. Deteksi yang baik selalu dimulai dari pemahaman yang jujur tentang cara kerja penyerang — dan penyerang, ternyata, juga manusia yang bisa ceroboh.

Dolenthis adalah media riset independen. Analisis seperti inilah yang menjadi basis data indikator tool deteksi kami — karena deteksi yang baik selalu dimulai dari pemahaman yang jujur tentang cara kerja penyerang.

Indikator dari rangkaian analisa ini dipakai oleh PBGuard — pendeteksi cheat Point Blank by Dolenthis.