Membedah "Daerah SD" (Bagian 4): Satu Dapur, Banyak Merek — Loader Bersama di Balik Etalase Cheat

Ringkasan Eksekutif

Di etalase, ekosistem cheat ini tampak seperti pasar yang ramai. Ada merek tuan rumah yang menjadi subjek seri ini — sebut saja "Daerah SD". Ada merek dari pulau seberang. Ada merek hantu. Ada merek kota kecil. Masing-masing punya nama, paket, dan etalase sendiri; dari luar, mereka tampak seperti pesaing yang berebut pembeli yang sama.

Bagian 4 seri ini membongkar apa yang ada di belakang etalase itu — dan ternyata bukan pasar. Di balik empat merek tersebut ditemukan satu dapur yang sama: satu loader bersama yang membawa payload untuk keempat merek sekaligus, satu backend lisensi yang melayani semuanya, satu format sidik jari mesin yang disepakati lintas penulis kode, dan satu server yang merangkap sebagai kasir lisensi sekaligus gudang cadangan distribusi. Menu internal salah satu modul cheat bahkan mendaftar nama semua merek itu berdampingan, seperti daftar varian dalam satu katalog produk.

Kesimpulan gelombang analisis terbaru (62 varian) ini sederhana dan mengubah cara membacanya: "persaingan" antar-merek cheat ini sebagian besar adalah teater etalase. Yang bersaing di depan layar adalah nama-nama; yang bekerja di belakang layar adalah satu operasi. Analisis tetap murni statis — tidak satu pun file dijalankan; untuk komponen .NET, logika dipulihkan lewat dekompilasi offline.

1. Ilusi Persaingan di Etalase

Asumsi yang wajar saat melihat banyak merek cheat adalah bahwa mereka dibuat operator yang berbeda-beda — mungkin saling meniru, mungkin saling mencuri kode, tetapi berdiri sendiri. Asumsi itu yang selama tiga bagian pertama seri ini kami pegang dengan hati-hati: jembatan antar-merek dicatat sebagai indikasi, bukan kesimpulan.

Tiga temuan pada gelombang terbaru mengubah statusnya. Pertama, sebuah loader yang membawa payload semua merek dalam satu file. Kedua, sebuah modul cheat yang daftar varian internalnya menyebut semua merek sekaligus. Ketiga, keselarasan teknis yang terlalu rapi untuk disebut kebetulan: format identitas mesin yang identik di tool karya penulis berbeda, pada ekosistem yang berbeda. Bab-bab berikut membedahnya satu per satu.

2. Sang Kurir: Satu Loader Membawa Empat Merek

File-nya berukuran hampir 18 MB — raksasa untuk ukuran loader cheat, yang biasanya ramping. Isinya menjelaskan kenapa: 98% dari file itu adalah muatan. Tertanam sebagai resource di dalamnya ada empat DLL utuh, masing-masing sekitar 4,45 MB, masing-masing dilindungi protektor komersial ber-virtualisasi, dan masing-masing satu untuk setiap merek: tuan rumah, pulau seberang, hantu, dan kota kecil.

Keempat payload itu berbagi sidik jari yang sama:

• Nama internal identik. Semuanya menyandang nama internal yang sama — AgPerfMon.dll — nama netral berkedok komponen pemantau performa. Empat merek, satu topeng.
• Ukuran kode pra-proteksi identik. Di balik lapisan virtualisasinya, ukuran bagian kode varian-varian bermerek itu sama persis dengan modul cheat mandiri yang beredar untuk lini tuan rumah — indikasi kuat mereka adalah build berbeda dari satu codebase yang sama, diproteksi ulang untuk tiap etalase.
• String yang bocor dari dalam. Pada tubuh loader, string milik payload tertanam ikut terbaca — dan isinya adalah endpoint sidik jari mesin serta backend lisensi yang sama persis dengan yang dipakai modul tuan rumah. Payload "merek lain" itu menelepon rumah ke alamat yang sama.

Cara kerja sang kurir sendiri terpulihkan utuh dari dekompilasinya (ia aplikasi .NET yang diobfuskasi; 43 string tersembunyinya berhasil didekode offline — skema penyembunyiannya sekadar XOR terhadap posisi byte dan satu konstanta tetap, satu lagi kunci sederhana dari dapur yang sama):

1. Ia menolak berjalan bila game sedang terbuka, dan menghapus sisa payload lama.
2. Sekali klik pada tombol pembaruan, ia menulis payload merek tuan rumah ke C:\mscoore.dll — nama samaran yang meniru nama file runtime sah dengan menghilangkan satu huruf.
3. Ia lalu mengintai proses game setiap setengah detik; begitu game muncul, ia menginjeksikan DLL itu dengan teknik klasik LoadLibraryA lewat thread jarak jauh, lalu keluar.
4. Antarmukanya membawa tombol ke situs penjual bersama dan status "sedang perawatan" yang tertanam di kode.

Satu detail yang jujur perlu dicatat: pada build yang kami periksa, tombolnya hanya menulis payload merek tuan rumah. Payload tiga merek lain ikut terbawa sebagai muatan, tetapi tidak dirujuk kode yang terpulihkan. Penjelasan yang paling masuk akal: setiap etalase menerima build kurirnya sendiri dari basis kode yang sama — muatan bersama, saklar berbeda. Itu pun, dengan sendirinya, sudah merupakan bukti dapur bersama: tidak ada pesaing yang menitipkan produknya di kendaraan pengiriman rival.

Nama internal loader ini menambah satu jembatan lagi. Nama yang sama pernah muncul sebagai modul pada analisis ekosistem merek pulau seberang terdahulu — indikasi kuat basis kode sang kurir memang beredar lintas merek, jauh sebelum empat payload itu dikemas dalam satu file.

3. Menu yang Membocorkan Isi Dapur

Bukti kedua datang dari modul cheat kelas berat milik tuan rumah itu sendiri — build terbaru dari codebase utamanya, terbit Juli 2026. Di dalam daftar string menunya, tersimpan daftar varian VIP yang ia layani. Isinya bukan satu merek: nama semua merek itu tercantum berdampingan — tuan rumah, pulau seberang, hantu, dan beberapa label varian lain — seperti satu produk dengan banyak rasa.

Detail pendukungnya sama telanjangnya:

• Nomor kontak penjual yang identik tercetak di dalam modul ini dan di build generasi sebelumnya — satu nomor melayani "semua merek".
• Endpoint pengumpulan sidik jari mesin yang sama — alamat polos HTTP yang menerima parameter HWID — dipakai modul ini, payload-payload tertanam sang kurir, dan generasi sebelumnya.
• Backend lisensi yang sama, dan alamat backend itu sendiri secara harfiah menyandang nama merek hantu — sementara ia melayani lisensi untuk modul tuan rumah. Bayangkan sebuah restoran yang kasirnya memakai seragam restoran sebelah yang katanya pesaing.

Pada titik ini tafsir "mereka saling meniru" tidak lagi cukup. Meniru fitur itu biasa; meniru nomor kasir, alamat kasir, dan daftar menu bersama bukanlah peniruan — itu pembagian fasilitas.

4. Dua Codebase, Satu Spesifikasi

Di dapur yang sama ternyata bekerja lebih dari satu resep. Gelombang terbaru mengidentifikasi dua codebase cheat yang berbeda beredar di bawah etalase tuan rumah:

• Codebase kelas berat — yang sudah dikenal sejak gelombang pertama: fitur VIP penuh (aimbot peluru, teleportasi, terbang, tembus pandang), pengumpulan HWID dan validasi lisensi di dalam modul, nama internal bertopeng yang sama dari generasi ke generasi.
• Codebase kelas ringan — temuan baru: gaya "assist" yang lebih sederhana (bantuan bidik + ESP + makro senjata), tanpa pengumpulan HWID di dalam DLL-nya, konfigurasi lewat file INI yang disimpan di folder sistem palsu yang sama dengan yang dipakai rantai loader ekosistem ini sejak lama.

Dua resep boleh saja berarti dua juru masak yang tidak saling kenal. Yang menyatukan mereka adalah spesifikasi lisensinya. Sebuah tool pemeriksa serial dari generasi terbaru — ditulis oleh penulis yang berbeda dari penulis modul kelas berat, dengan toolchain yang lebih baru dan anti-debugging tiga lapis — ternyata memakai dua query identitas mesin yang identik kata per kata dengan yang dipakai modul kelas berat: nomor seri papan induk dan UUID sistem, digabung lalu di-hash. Format sidik jari yang sama persis, di tangan penulis yang berbeda, hanya masuk akal bila keduanya bekerja dari satu spesifikasi lisensi yang disepakati — sistem kasir yang sama harus bisa membaca nota dari semua dapur.

Pola yang sama terulang pada peralatan pendukungnya. Satu tool pemeriksa serial generasi lama yang sama ditemukan tersebar di paket tiga ekosistem berbeda — tuan rumah dan dua merek tetangga — dibangun sekali, dipakai semua pihak. Bocoran jalur proyek pada file-file gelombang ini menunjukkan beberapa nama pembangun yang berbeda-beda untuk komponen yang berbeda (loader, updater, pemeriksa serial, modul cheat) — gambar yang muncul bukan satu orang yang mengerjakan semuanya, melainkan lingkaran kecil pembangun yang berbagi spesifikasi, peralatan, dan infrastruktur. Atribusi dari jalur file tentu bisa dipalsukan; tetapi konsistensinya lintas puluhan file dan dua gelombang analisis membuat tafsir sebaliknya terasa jauh lebih dipaksakan.

5. Infrastruktur yang Dipakai Bersama

Dapur bersama membutuhkan gudang dan kasir bersama. Peta gelombang ini menemukannya:

• Satu alamat IP, banyak pekerjaan. Alamat yang sama melayani API lisensi dan penukaran token bagi injector tuan rumah, menjadi server cadangan tempat updater menarik antarmuka utama bila sumber utama gagal, dan — menurut rangkuman gelombang ini — melayani API lisensi dua merek sekaligus. Satu server yang tidak bisa mati tanpa melumpuhkan beberapa etalase sekaligus.
• Server unduhan bersama, jalur per merek. Downloader generasi awal tuan rumah mengambil payload dari server yang sama dengan downloader merek pulau seberang — alamatnya tersusun rapi sebagai jalur per merek di bawah direktori yang sama, seperti rak-rak berlabel di satu gudang.
• Distribusi lewat satu repositori rilis, dengan cadangan IP polos. Pintu masuk seluruh operasi adalah updater ramping yang membunuh proses lama, mengunduh antarmuka terbaru dari rilis repositori bersama (atau dari IP cadangan di atas bila itu gagal), menyimpannya di folder bernama acak di direktori data aplikasi, lalu menjalankannya sebagai administrator tanpa satu pun pemeriksaan integritas — tanpa hash, tanpa tanda tangan. Kelemahan itu bukan milik satu merek: ia diwarisi setiap pengguna dari semua etalase yang berbagi pintu yang sama. Siapa pun yang menguasai rantai unduhan itu memegang hak admin di mesin seluruh pasar sekaligus.
• Panel member yang menolak mati. Dari berkas petunjuk di dalam paket cadangan manual operator sendiri terkonfirmasi: panel lisensi member mereka masih hidup dan sudah pindah alamat IP — jalur loginnya identik, skema kunci membernya sama persis, panel lamanya sudah mati. Infrastruktur boleh berganti rumah; sistem kasirnya tidak pernah tutup.

6. Apa Artinya bagi Deteksi

Membaca peta ini sebagai empat merek terpisah menghasilkan strategi yang salah. Implikasi praktisnya:

• Menekan satu etalase tidak mematikan operasi. Nama merek adalah lapisan termurah dari seluruh tumpukan — ia bisa diganti dalam sehari. Lapisan mahalnya adalah yang dipakai bersama: kurir, codebase, spesifikasi lisensi, dan server kasir. Di situlah tekanan harus ditujukan.
• Indikator bersama bernilai lintas merek. Hash satu payload bermerek membuka keluarganya: nama internal topeng yang sama, jalur drop C:\mscoore.dll, endpoint HWID bersama, dan alamat kasir bersama adalah indikator yang tetap berlaku apa pun nama etalase minggu ini.
• Satu sampel adalah jendela ke seluruh dapur. Karena muatan empat merek bepergian dalam satu file, menganalisis loader satu etalase memberikan indikator untuk tiga etalase lain yang bahkan belum diperoleh sampelnya. Bagi pemburu indikator, file 18 MB ini adalah hadiah.
• Bagi pengguna cheat-nya sendiri: "memilih merek yang lebih aman" adalah ilusi — semua merek berbagi pintu masuk tanpa verifikasi integritas yang sama. Risikonya tidak berbeda per etalase; yang berbeda hanya labelnya.

7. Pemetaan MITRE ATT&CK (ringkas)

• Defense Evasion — T1036 — Masquerading — Payload semua merek bernama internal AgPerfMon.dll; drop sebagai C:\mscoore.dll meniru file runtime sah
• Defense Evasion — T1027 — Obfuscated Files or Information — Obfuskasi .NET pada kurir bersama; payload terproteksi virtualisasi per merek
• Execution — T1055.001 — Process Injection: DLL Injection — Kurir menginjeksikan payload terpilih ke proses game via thread jarak jauh + LoadLibraryA
• Persistence / Distribusi — T1105 — Ingress Tool Transfer — Updater bersama menarik antarmuka terbaru dari repositori rilis / IP cadangan lalu menjalankannya sebagai admin
• Discovery — T1082 — System Information Discovery — Query identitas mesin yang identik lintas penulis untuk spesifikasi HWID bersama
• Defense Evasion — T1622 — Debugger Evasion — Anti-debugging tiga lapis pada pemeriksa serial generasi terbaru

8. Indikator Deteksi (IOC)

Berbeda dari bagian sebelumnya, gelombang ini memperoleh hash lengkap untuk artefak-artefak kuncinya:

• SHA256 — kurir bersama (loader 4 merek) — f03d0c516dbc9aeab4d8b93c0d5ec5f95da722109b99efa2cafb5713565badea
• SHA256 — payload tertanam merek tuan rumah — 8c6beb00db0eead492d6b725fa5dadc41788724dbbd8aaa4e6084a078cf1ae18
• SHA256 — payload tertanam merek pulau seberang — cc8b0cbc1c859c163a8cd868a401d6d3a020805207ca855400405629c04dfb78
• SHA256 — payload tertanam merek hantu — 36923b73966ca0114866f5a785dc72fee00a924c792fdda2f923780b4208188d
• SHA256 — payload tertanam merek kota kecil — 0b226ef162c423ccfd8373184e0e4b1ba17956db6e43b8910dc2ccbbfa3ff08a
• SHA256 — modul kelas berat (build terbaru) — 98bb49d2bc604499502a0451be908d32b5cd1e773afb7c64cf0b6903fdc5c192
• SHA256 — modul kelas ringan (varian penuh) — 18b45ea53977c23a1c39da5376dbef9639c160e6c3ae030b0b34e854d63610bd
• SHA256 — pemeriksa serial generasi terbaru — 1318cfac2dd97a741cdae192ed9b401c0f53889af5337789b7873ed38a466ea7
• SHA256 — updater pintu masuk — 4973d41b831cb86de6c21128de3b8712ab641585f19ce83f5ad4f10bcea68b1e
• Nama internal payload — AgPerfMon.dll (dipakai semua merek)
• Jalur drop — C:\mscoore.dll
• Perilaku — Loader ±18 MB dengan ±98% isi berupa DLL tertanam; query WMI ganda (nomor seri papan induk + UUID sistem) dari proses asing; unduhan ke folder bernama GUID di direktori data aplikasi lalu eksekusi runas tanpa verifikasi

9. Rekomendasi

Untuk pengguna:

• Anggap setiap klaim "merek kami paling aman / paling tidak terdeteksi" sebagai naskah pemasaran. Di belakang layar, merek-merek itu berbagi kode, kasir, dan pintu masuk yang sama — termasuk kelemahannya.
• Pintu masuk bersama ekosistem ini menjalankan unduhan sebagai administrator tanpa memverifikasi apa pun. Memakai salah satu etalasenya berarti memercayakan mesin Anda pada rantai pasok yang sama persis, apa pun labelnya.

Untuk deteksi:

• Bangun indikator pada lapisan bersama — kurir, nama internal payload, jalur drop, endpoint HWID, server kasir — bukan pada nama merek.
• Perlakukan kemunculan satu merek sebagai pemicu perburuan keluarga: bila satu payload dari dapur ini terdeteksi, varian etalase lain berbagi cukup banyak sidik jari untuk ditemukan dengan indikator yang sama.

Keterbatasan

Seluruh analisis bersifat statis; logika payload di dalam kurir dilindungi virtualisasi dan tidak dibedah isinya — identifikasinya bertumpu pada nama internal, ukuran bagian kode pra-proteksi, string yang bocor, dan kesetaraan endpoint dengan modul mandiri yang terpulihkan. Sebagian metode kurir mungkin tidak ter-decompile sempurna akibat obfuskasi (beberapa pemanggilan unduhan terdeklarasi tanpa call-site yang ditemukan) dan ditandai sebagai indikasi di tempatnya. Kesimpulan "satu operasi" adalah penilaian analitis atas kumulasi bukti bersama — loader bermuatan empat merek, menu lintas merek, spesifikasi HWID identik, dan infrastruktur bersama — bukan pengakuan dari operatornya; bentuk hukumnya (satu pemilik, lisensi silang, atau kartel longgar antar-penjual) tidak dapat ditentukan dari artefak saja.

Empat etalase, empat nama, empat daftar harga — dan satu dapur, satu kasir, satu kurir untuk semuanya. Seri ini akan terus memetakan ekosistem "Daerah SD" selama ia beroperasi; peta terbarunya sejauh ini menunjukkan bahwa yang tampak seperti pasar ternyata lebih mirip satu toko yang memasang banyak papan nama.

Dolenthis adalah media riset independen. Analisis seperti inilah yang menjadi basis data indikator tool deteksi kami — karena deteksi yang baik selalu dimulai dari pemahaman yang jujur tentang cara kerja penyerang.

Indikator dari rangkaian analisa ini dipakai oleh PBGuard — pendeteksi cheat Point Blank by Dolenthis.