Membedah "Daerah SD": Anatomi Ekosistem Cheat Multi-Tahap

Catatan editorial: Seluruh nama individu, brand, dan merk dagang dalam tulisan ini disamarkan sesuai kebijakan editorial Dolenthis. Identifier teknis (nama file, hash, path, teknik MITRE ATT&CK) ditulis apa adanya karena merupakan indikator deteksi.

Ringkasan Eksekutif

Tulisan ini membedah satu ekosistem distribusi cheat game Point Blank yang kami sebut "Daerah SD" — dua huruf yang cukup bagi yang tahu, dan cukup samar bagi yang tidak. Kebetulan yang pas: penyamaran adalah benang merah seluruh ekosistem ini — installer menyamar sebagai komponen Microsoft, "driver kernel" yang ternyata aplikasi user-mode biasa, hingga tool anti-forensik ber-timestamp tahun 2057.

Analisis dilakukan murni statis — tidak satu pun file pernah dijalankan. Total 15+ artefak diperiksa dengan checklist berlapis: identifikasi file, header PE, strings & metadata, hash, section & entropy, digital signature, endpoint, mekanisme login, anti-debugging, pemetaan MITRE ATT&CK, dan penilaian risiko. Seluruh artefak inti berverdict BERBAHAYA.

Temuan terbesarnya bukan satu file, melainkan arsitekturnya: rantai distribusi 5 tahap yang dirancang seperti operasi perangkat lunak komersial — ada installer, auto-update mandatory, API autentikasi, lisensi berbasis HWID, pembayaran via QRIS, sampai layanan anti-forensik untuk menghapus jejak. Ini bukan script iseng; ini crimeware yang dikelola serius.

1. Peta Rantai Distribusi

[Installer NSIS ~80 MB]
        │  menyamar sebagai "Runtime Broker" / "Microsoft Corporation"
        ▼
[Aplikasi Electron + elevate.exe]
        │  UAC elevation, auto-update mandatory, unduh modul per versi
        ▼
[Downloader / Loader] ──→ ["Driver" .sys PALSU]
        │                       │  aplikasi user-mode berekstensi .sys
        ▼                       ▼
[Injector] ──CreateRemoteThread / NtCreateThreadEx──▶ [pointblank.exe]
                                                        │
                                                        ▼
                                              [DLL cheat di dalam game]
                                              aimbot, ESP, teleport,
                                              keylogger, curi HWID

Setiap tahap punya peran: installer menanam kaki, aplikasi mengatur distribusi, loader mengambil modul, injector menyuntik ke proses game, dan DLL adalah "otak" yang berjalan di dalam game. Ditambah satu komponen pendukung: tool anti-forensik untuk menghapus jejak instalasi.

2. Tahap 1 — Installer dan Aplikasi: Operasi Berbungkus Profesional

Pintu masuknya adalah installer NSIS 3.04 berukuran ~80 MB. Yang langsung mencolok: seluruh identitasnya palsu.

CompanyName — Microsoft Corporation — ❌ Palsu
FileDescription — Runtime Broker — ❌ Menyamar sebagai proses Windows sah
ProductName — Runtime Broker — ❌ Palsu

Di dalamnya ada aplikasi Electron (~181 MB) yang juga bernama "Runtime Broker", plus elevate.exe — helper kecil yang memakai ShellExecuteExW dengan verb runas untuk memaksa elevasi UAC. Seluruh rantai: unsigned, tanpa satu pun digital signature.

Tiga hal yang membuat tahap ini menarik bagi analis:

Kode disembunyikan serius. Logika utama dikompilasi ke V8 bytecode via bytenode (.jsc), dengan fallback ke file JS yang di-obfuscate (variabel _0x..., string array terenkripsi). Developer bahkan meninggalkan file backup (renderer.backup.js, vip-login-bak.js) — keteledoran klasik yang justru membantu analis.
Anti-perekaman layar. Aplikasi mendeteksi obs64.exe / streamlabs obs.exe — fitur "screenshot protection" agar aktivitas cheat tidak terekam saat streaming. Ini counter-forensics di level aplikasi.
Modifikasi sistem agresif. Fitur "Advanced Services Optimizer" mengubah startup type 100+ Windows services dengan dalih "gaming/low latency". Dari kacamata defensif, ini sudah masuk kategori Impair Defenses (T1562.001).

Mekanisme auto-update bersifat mandatory via manifest JSON di layanan hosting kode publik, dengan beberapa mirror. Jalur update = jalur distribusi: siapa menguasai manifest, menguasai apa yang terinstal di ribuan mesin.

3. Tahap 2 — "Driver" yang Bukan Driver

Ini temuan paling elegan dari sisi analisis. Ekosistem ini mendistribusikan file bernama Load.sys, Injek.sys, dan Loadmanual.sys — diklaim sebagai kernel driver yang berjalan di ring-0. Klaim itu runtuh dalam lima pemeriksaan:

Flag IMAGE_FILE_SYSTEM (0x1000) — ❌ 0x102 — tidak ada
Subsystem NATIVE (1) — ❌ 3 = CONSOLE
Import ntoskrnl.exe / hal.dll — ❌ hanya KERNEL32, USER32, WININET
DriverEntry — ❌ entry point console biasa
Manifest — requireAdministrator — aplikasi user-mode

Ketiganya adalah aplikasi console user-mode biasa yang diberi ekstensi .sys — masquerading (T1036) agar terlihat seperti komponen sistem dan lolos dari pemeriksaan sepintas.

Perbandingan tiga varian menunjukkan evolusi yang terdokumentasi:

Ukuran — 32 KB — 76 KB (2,3×)
Kemampuan jaringan — Tidak ada — Stack WININET lengkap
Peran — Loader lokal — Downloader + injector

Varian terbaru mengunduh payload dari internet lalu menginjeksikannya — lompatan dari loader menjadi dropper. Satu catatan jujur: ada satu blob bernama Loadmanual.sys (38 KB, entropi 7,12, bukan PE valid) yang diduga sebagai payload terenkripsi custom — kemungkinan driver asli yang didekripsi di memori (manual mapping). Hipotesis ini belum bisa diverifikasi secara statis, dan justru di sinilah batas analisis statis berada.

4. Tahap 3 — Injector: Perlombaan Melawan Deteksi

Dua generasi injector ditemukan, dan perbandingannya adalah studi kasus evolusi evasion:

API thread jarak jauh — CreateRemoteThread (statis di import) — NtCreateThreadEx di-resolve dinamis via GetProcAddress
Loader DLL — LoadLibraryA — LoadLibraryExA (dinamis)
Target — pointblank.exe — PointBlank.exe
Payload — 1 DLL — Multi-sumber (2+ lokasi unduhan)

Migrasi dari CreateRemoteThread statis ke NtCreateThreadEx dinamis adalah upgrade evasion yang disengaja — melewati hook user-mode yang dipasang anti-cheat/AV pada CreateRemoteThread. String error di binary mengkonfirmasi alur lengkapnya: buka proses → alokasi memori remote → tulis memori → resolve NtCreateThreadEx → buat remote thread.

Generasi baru juga menambahkan:

HWID harvesting — membaca MAC address (GetAdaptersInfo) dan menulis ke C:\HWIDs.txt;
Eliminasi kompetitor — taskkill terhadap proses cheat lain sebelum injeksi;
Lisensi serial — validasi ke server, dengan pesan lokal berbahasa Indonesia.

Pola ini penting untuk detection engineering: mendeteksi teknik (thread yang start address-nya di luar modul ter-load) lebih tahan lama daripada mendeteksi nama file — karena nama file dan API bisa berganti tiap generasi, tetapi pola injeksinya tetap.

5. Tahap 4 — Modul Cheat: "Otak" di Dalam Proses Game

DLL utama (~127 KB) adalah komponen paling "berdaging". Diinjeksikan ke pointblank.exe, ia berjalan di dalam proses game — sehingga tidak butuh ReadProcessMemory/WriteProcessMemory; ia mengakses memori game langsung via pointer.

Dari strings-nya terbaca menu VIP lengkap berbahasa Indonesia: aimbot dengan lingkaran FOV, penghilang recoil horizontal/vertikal, speed hack, teleport (player, bom, smoke), fly hack, wallhack (bug wall through), ESP tulang, mode ghost, sampai fake lag (paksa disconnect saat terbunuh). Integrasinya dalam: mereferensikan class internal engine game (BattleSlotContext, CGameCharaHUDContext) dan me-render overlay via DirectX 9 (D3DXCreateFontA) — wajar, game targetnya memang era DX9.

Tiga temuan di luar fitur cheat-nya:

Keylogging — GetAsyncKeyState + GetForegroundWindow di-import. Dalihnya bisa "hotkey menu", tetapi kapabilitasnya adalah input capture penuh (T1056.001).
Eksfiltrasi HWID via HTTP polos — serial motherboard (WMI Win32_BaseBoard) dikirim sebagai parameter URL tanpa TLS. Selain pencurian fingerprint perangkat, ini juga rentan disadap.
Satu aktor, banyak brand — PDB path yang bocor di binary menunjukkan satu codebase di-build menjadi 7 varian brand berbeda. Ini menjelaskan mengapa pola yang sama muncul di beberapa "produk" cheat yang terlihat bersaing: di hulu, mereka satu dapur.

Nama internal DLL ini (AgPerfMon.dll) berbeda dari nama filenya — masquerading lagi, sampai ke level terkecil.

6. Komponen Pendukung — Tool Anti-Forensik

Temuan yang paling "gelap": sebuah tool .NET (~167 KB) yang bukan cheat, bukan loader — melainkan wiper anti-forensik dengan 58 method bernama Clear*:

Defender: hapus event log, karantina, exclusion list, detection history;
Sistem: event log Windows, USN journal, prefetch, amcache, recycle bin, crash dump, WER report;
Jejak pengguna: recent docs, jumplist, UserAssist, shellbag, typed paths, riwayat browser, clipboard;
Jejak cheat itu sendiri: registry key dan file HWID milik ekosistem ini — khas tool penghindar HWID ban;
Anti-barang-bukti: ScheduleSelfDelete via MoveFileEx — menghapus dirinya sendiri saat reboot.

Section .text-nya berflag RWX (writable+executable) — tidak wajar untuk .NET polos. Timestamp kompilasinya tahun 2057 — palsu, pola khas untuk mengecoh analisis berbasis waktu. Version info-nya kembali memalsukan "Microsoft Corporation". Satu-satunya URL cleartext mengarah ke endpoint API baru di luar infrastruktur yang dikenal — indikasi evolusi atau pecahan distribusi.

Tool seperti ini menjawab pertanyaan "bagaimana mereka bertahan": bukan hanya dengan menghindari deteksi, tetapi dengan menghapus bukti setelahnya.

7. Pola yang Berulang: Tanda Tangan Operasi

Dari 15+ artefak, lima pola muncul konsisten — inilah yang layak menjadi basis deteksi generik:

Masquerading berlapis (T1036) — "Runtime Broker", "Microsoft Corporation", ekstensi .sys palsu, nama internal DLL yang berbeda dari nama file. Setiap lapisan punya topengnya sendiri.
Rantai unsigned penuh — tidak satu pun binary bertanda tangan. Di ekosistem software legitim, ini anomali; di sini, ini normal.
HWID sebagai identitas — motherboard serial, MAC address, UUID sistem dikumpulkan di banyak titik (C:\HWID.txt, C:\HWIDs.txt, parameter URL). HWID adalah "KTP" model bisnis lisensi mereka — sekaligus permukaan deteksi: file-file ini jarang ditulis software legitim.
Distribusi multi-mirror — layanan hosting kode publik, IP telanjang, mirror HTTP polos. Mematikan satu titik tidak mematikan operasi.
Evolusi terdokumentasi — timestamp Februari → Maret → September 2026 menunjukkan pengembangan aktif: loader lokal menjadi downloader, CreateRemoteThread menjadi NtCreateThreadEx. Deteksi berbasis nama akan kedaluwarsa; deteksi berbasis perilaku bertahan.

Pemetaan MITRE ATT&CK (ringkas)

Defense Evasion — T1036 Masquerading — Topeng "Runtime Broker"/"Microsoft", .sys palsu
Defense Evasion — T1622 Debugger Evasion — IsDebuggerPresent di hampir semua binary
Persistence — T1547.006 / T1014 — Klaim kernel driver (terbukti palsu pada sampel ini)
Privilege Escalation — T1548.002 Bypass UAC — elevate.exe via ShellExecuteExW runas
Execution — T1055.001 DLL Injection — CreateRemoteThread → NtCreateThreadEx
Command & Control — T1105 Ingress Tool Transfer — Unduh payload multi-mirror
Discovery — T1082 System Info Discovery — WMI motherboard serial, MAC, UUID
Collection — T1056.001 Input Capture — GetAsyncKeyState di modul cheat
Impact — T1070 Indicator Removal — 58 method Clear* tool anti-forensik
Impact — T1562.001 Impair Defenses — Utak-atik Defender, 100+ services diubah

8. Indikator Deteksi (IOC)

File — Load.sys, Injek.sys, Loadmanual.sys, CBs.dll, InjectorV3.exe, Exclusive.exe, injektor.exe, kbthn.exe, elevate.exe, *.mentah
Path — C:\HWID.txt, C:\HWIDs.txt, %TEMP%\<nama acak>, C:\Windows\System\a1.mentah
Proses menyamar — Runtime Broker.exe / Runtime-Broker.exe di luar C:\Windows\System32\
SHA256 (installer) — a3d6b736fdac64f51a27ba97f57cc5b5e2a227f77a12e8307c9735719cfa203c
SHA256 (modul cheat) — b2817b7ae3575b35a513e8840be99842f3ef6a27be4a1109c5559e2248a35b88
SHA256 (anti-forensik) — 03871ea7ed77468e760e3846238d89cea62d5fa507a1a65685032d1818c15795
SHA256 (injector V3) — 5f5490363350f3dd27a4442e70e90c88f3e1a49942438810246d2738aaaef013
Perilaku — Thread di pointblank.exe dengan start address di luar modul ter-load; region MEM_PRIVATE berproteksi RWX; DLL unsigned ter-load di proses game

(Hash tidak di-query ke VirusTotal pada saat analisis; nilai di atas untuk referensi threat intel manual.)

9. Rekomendasi

Untuk pengguna:

Jangan menginstal atau menjalankan paket apa pun dari ekosistem ini di mesin utama — apalagi yang meminta elevasi administrator atau mematikan antivirus.
"Driver" yang diminta diinstal oleh software tidak dikenal adalah bendera merah terbesar; driver asli selalu bertanda tangan dan terdokumentasi.
Jika perlu meneliti: VM terisolasi, snapshot sebelum instalasi, tanpa akses ke LAN.

Untuk detection engineer:

Kejar perilaku, bukan nama file: thread injection ke proses game, region RWX privat, modul unsigned di dalam proses game.
Pantau penulisan C:\HWID*.txt — pola yang jarang dilakukan software legitim.
Waspadai proses bernama komponen Windows di lokasi yang salah — masquerading adalah pola termurah dan paling sering dipakai.

Untuk developer game: Rantai ini menunjukkan bahwa proteksi user-mode saja tidak cukup melawan operator yang berevolusi tiap beberapa bulan. Kombinasi deteksi behavioral + respons cepat terhadap varian baru lebih efektif daripada sekadar memblokir hash.

Keterbatasan

Seluruh analisis dalam tulisan ini bersifat statis. Perilaku runtime — urutan unduhan vs injeksi yang sebenarnya, isi payload terenkripsi Loadmanual.sys, handshake lisensi dengan backend — membutuhkan dynamic analysis di VM terisolasi dan belum dilakukan. Status infrastruktur dapat berubah sewaktu-waktu; beberapa endpoint yang tercatat hidup pada Oktober 2026 mungkin sudah mati saat Anda membaca ini.

Dolenthis adalah media riset independen. Analisis seperti inilah yang menjadi basis data indikator tool deteksi kami — karena deteksi yang baik selalu dimulai dari pemahaman yang jujur tentang cara kerja penyerang.

Indikator dari rangkaian analisa ini dipakai oleh PBGuard — pendeteksi cheat Point Blank by Dolenthis.

CONTACT

← Kembali ke Blog