Peneliti keamanan Bitdefender menemukan trik baru yang canggih sekaligus berbahaya. Kelompok peretas Rusia bernama Curly COMrades berhasil memanfaatkan Hyper-V di Windows untuk menjalankan mesin virtual (VM) Linux ringan. Dan dari dalamnya, mereka mengeksekusi malware tanpa terdeteksi oleh sistem keamanan Windows.
Serangan ini menggunakan Alpine Linux VM berukuran hanya 120MB dengan RAM 256MB, cukup untuk menjalankan alat berbahaya seperti CurlyShell dan CurlCat. Karena malware berjalan sepenuhnya di dalam Linux, sistem endpoint detection and response (EDR) berbasis Windows tidak mendeteksi aktivitas mencurigakan apa pun. Dengan kata lain, Windows jadi host yang membantu menyembunyikan serangan terhadap dirinya sendiri.
Menurut peneliti Bitdefender Victor Vrabie, dengan mengisolasi malware dalam VM, para pelaku “secara efektif melewati banyak mekanisme deteksi host tradisional.” COMrades menonaktifkan antarmuka manajemen Hyper-V agar aktivitas VM tidak tampak mencurigakan, lalu memanfaatkan berbagai alat proxy seperti Resocks, Ligolo-ng, CCProxy, dan Stunnel untuk menghubungkan VM ke server komando dan kontrol (C2). Semua lalu lintas dikirim melalui IP host Windows, membuatnya tampak seperti aktivitas pengguna biasa.
Selain itu, skrip PowerShell di sisi host digunakan untuk menyuntik tiket Kerberos, membuat akun lokal, serta menjalankan perintah jarak jauh. Hasilnya, penyerang bisa mempertahankan akses jangka panjang tanpa meninggalkan jejak mencolok di sistem utama.
Operasi ini mulai terdeteksi pada Juli 2025 setelah CERT Georgia menemukan sampel CurlCat dan meminta bantuan Bitdefender. Peneliti menyimpulkan bahwa pendekatan ini menandai pergeseran besar dalam strategi malware: bukan lagi menembus Windows secara langsung, melainkan memanfaatkan virtualisasi untuk bersembunyi dari radar keamanan.
Meski cerdik, teknik ini masih memiliki titik lemah, yakni lalu lintas jaringan. Karena VM tetap harus berkomunikasi keluar, deteksi anomali pada level jaringan menjadi kunci untuk menghentikan serangan serupa.
Kasus ini memperingatkan satu hal penting: EDR saja tidak cukup. Di era virtualisasi dan hybrid OS, pertahanan siber harus berlapis, dengan pemantauan jaringan dan hypervisor yang lebih cerdas untuk menghadapi ancaman yang kini semakin “menetap” di dalam Windows.