Banyak masalah siber pekan ini bermula dari hal-hal yang dipercaya namun justru disalahgunakan. Driver yang ditandatangani berbalik menyerang pertahanan, aplikasi sah membantu malware bersembunyi, dan pemeriksaan header yang lemah membuka jalan eksekusi kode. Di sisi lain, sistem yang terekspos, bug lama, trik penyembunyian aneh, dan riset eksploitasi yang dibantu AI terus mempermudah pelaku kejahatan siber untuk menimbulkan kerusakan.
Tidak ada yang perlu dibesar-besarkan di sini. Celah-celah kecil ini sudah cukup berbahaya. Ancaman terus berubah setiap minggu. Berlanggananlah untuk mendapatkan Buletin Ancaman terbaru.
Berikut adalah rangkuman ancaman siber yang menonjol pekan ini:
* **Penyalahgunaan Driver Bertanda Tangan:** Check Point berhasil merekayasa balik driver “BTR.sys” milik Microsoft Defender dan menunjukkan bahwa driver remediasi yang sah ini dapat diubah fungsinya menjadi mesin operasi kernel universal. Ini memungkinkan bypass solusi keamanan endpoint dengan mengeksploitasi “jendela emas” antara awal sistem dan inisialisasi mode pengguna, tanpa perlu metode BYOVD (Bring Your Own Vulnerable Driver). Karena BTR.sys adalah komponen Microsoft yang sah, pemblokiran berbasis tanda tangan tidak efektif.
* **Hadiah $10 Juta untuk Peretas Iran:** Departemen Kehakiman AS (DoJ) telah mendakwa 17 anggota Mabna Institute, sebuah perusahaan berbasis di Iran yang dituduh melakukan kampanye intrusi siber terkoordinasi sejak 2013. Mereka menargetkan 144 universitas AS, 178 universitas asing, 42 perusahaan swasta AS, 11 perusahaan swasta asing, 5 lembaga pemerintah AS, dan 2 LSM. Mabna Institute dituduh mencuri lebih dari 31 TB data akademik dan kekayaan intelektual, serta akun email karyawan. Kampanye ini menargetkan lebih dari 100.000 akun profesor di seluruh dunia, dengan sekitar 8.000 berhasil disusupi. Para terdakwa melakukan intrusi ini atas nama Korps Garda Revolusi Islam (IRGC) Iran. Departemen Luar Negeri AS menawarkan hadiah $10 juta untuk informasi mengenai lima terdakwa ini.
* **Kampanye Sideloading DLL Grandoreiro:** Malware Grandoreiro ditemukan menyalahgunakan aplikasi sah Duplicate Files Finder (DFF) untuk menjalankan kode berbahaya melalui sideloading DLL. Aktivitas Grandoreiro terkonsentrasi di Amerika Latin, dengan Meksiko, Spanyol, Peru, dan Argentina menjadi target utama. Sampel awal dilengkapi fungsionalitas anti-analisis yang ekstensif untuk menghindari sistem analisis otomatis.
* **ClickFix Bertemu BYOVD:** Kampanye ClickFix yang dihasilkan oleh ErrTraffic mencoba menyebarkan Cruciferra, yang kemudian menggunakan driver sah namun rentan (“DCRCVDrv.sys”) sebagai bagian dari serangan BYOVD untuk meningkatkan hak istimewa dan menghentikan proses keamanan. ErrTraffic adalah kerangka kerja MaaS (Malware-as-a-Service) yang mendistribusikan berbagai ancaman melalui situs web WordPress yang disusupi, rekayasa sosial ClickFix, dan EtherHiding.
* **Pemrosesan AI Privat:** OpenAI mengumumkan pendekatan keamanan yang berpusat pada privasi untuk memantau penyalahgunaan model. Mereka sedang menguji layanan baru bernama Private Safety Processing yang memantau potensi penyalahgunaan tanpa menyimpan data pelanggan. Sistem ini menargetkan pesaing seperti Anthropic yang memiliki kebijakan retensi 30 hari. Google juga memperkenalkan Homomorphic Encryption Intermediate Representation (HEIR), yang memungkinkan inferensi AI privat yang aman secara kriptografis pada input terenkripsi.
* **AI Tanpa Batasan (Guardrail-free AI):** Layanan AI baru bernama Kriminal AI menawarkan pelanggan berbayar cara untuk mendapatkan jawaban tentang apa pun, tanpa filter atau batasan yang biasanya diterapkan oleh platform AI. Kriminal AI mengklaim memiliki lebih dari 2.300 pengguna dan dapat diakses di clearnet. Layanan ini tampaknya menggunakan Grok untuk inferensi utama, Google Cloud dan Cloudflare untuk hosting, Claude dari Anthropic untuk lapisan model konteks panjang, Llama melalui OpenRouter untuk tugas khusus, Tavily untuk pencarian langsung, dan NowPayments untuk pembayaran kripto tanpa KYC.
* **Perubahan Persetujuan ATT Apple:** Apple setuju untuk melakukan perubahan pada fitur App Tracking Transparency (ATT) di Jerman setelah Federal Cartel Office (FCO) menemukan bahwa fitur tersebut memberikan prompt persetujuan yang lebih menguntungkan untuk aplikasi Apple sendiri dibandingkan aplikasi pihak ketiga. Perubahan ini akan berlaku di hampir semua negara Uni Eropa.
* **Pengontrol Pendingin Terekspos:** Tim82 Claroty menemukan 23 kerentanan pada pengontrol Copeland XWEB Pro, termasuk yang dapat dirantai untuk melewati mekanisme keamanan dan mencapai eksekusi kode jarak jauh tingkat root. Pengontrol yang disusupi dapat digunakan untuk memanipulasi peralatan pendingin dari jarak jauh, termasuk kipas pendingin dan kompresor, dan menyembunyikan kenaikan suhu yang dihasilkan, sehingga makanan bisa rusak tanpa disadari. Kerentanan serupa juga ditemukan pada pengontrol pendingin Danfoss AK-SM 800A. Semua kerentanan yang teridentifikasi telah diperbaiki oleh vendor masing-masing.
* **C2 Tersembunyi dalam Spasi Kosong:** Sebuah backdoor Windows yang ditulis tangan ditemukan menyimpan domain C2-nya sebagai jumlah spasi kosong di akhir file desktop.ini palsu. Backdoor berukuran 12 KB ini ditemukan oleh Gen Digital pada satu workstation perusahaan saat mencari persistensi WMI yang tidak biasa. Konfigurasi yang tidak biasa ini membuat alamat server C2 tersembunyi dari pengguna dan banyak sistem inspeksi otomatis.
* **RCE Tingkat Maksimum di Gogs:** Celah keamanan tingkat maksimum di Gogs (CVE-2026-52813, skor CVSS: 10.0) dapat dieksploitasi untuk mencapai eksekusi kode jarak jauh melalui Git hooks. Nama organisasi yang mengandung urutan path traversal (../) diterima oleh Gogs, memungkinkan penyimpanan/pengambilan data repositori di lokasi arbitrer pada sistem file. Dengan membuat struktur repositori Git yang bertingkat, seseorang dapat menimpa konfigurasi hooks yang lain untuk menghasilkan RCE. Masalah ini telah diatasi pada versi 0.14.3.
* **Kebocoran Memori via PostScript:** Detail muncul tentang celah baca di luar batas yang kini telah ditambal di Apple macOS Spotlight (CVE-2026-43774, skor CVSS: 5.5). Celah ini dapat dieksploitasi oleh aplikasi berbahaya untuk mengakses data pengguna sensitif. Kerentanan ini ada di plugin Spotlight PostScript dan dapat dipicu oleh file .ps yang dibuat khusus.
* **Pengambilalihan CI/CD Tanpa Otentikasi:** Celah keamanan kritis ditemukan di @circleci/mcp-server-circleci yang dapat mengakibatkan eksekusi kode jarak jauh melalui permintaan yang dibuat khusus. Penyerang dapat mencapai RCE tanpa otentikasi dalam pipeline CI/CD, mengambil kendali penuh atas rahasia build dan identitas cloud. Kerentanan ini telah diperbaiki pada versi 0.19.2 dari paket npm.
* **Rantai Workflow-to-RCE di n8n:** Kerentanan kritis di n8n, platform otomatisasi workflow sumber terbuka, memungkinkan pengguna terautentikasi dengan izin untuk membuat atau memodifikasi workflow mengeksploitasi kerentanan prototype pollution di node XML dan GSuiteAdmin, dan mencapai eksekusi kode jarak jauh pada instance n8n. Masalah ini (CVE-2026-33696, skor CVSS: 9.4) telah diperbaiki pada versi 2.14.1, 2.13.3, dan 1.123.27.
* **Kabel Diputus Hentikan Intrusi:** Pada akhir 2024, laporan muncul tentang kampanye Salt Typhoon yang menargetkan T-Mobile dan perusahaan telekomunikasi besar AS lainnya sebagai bagian dari upaya spionase siber untuk mendapatkan akses ke data pelanggan yang berharga. Meskipun aktivitas tersebut terdeteksi sebelum mata-mata siber Tiongkok dapat menyedot data dari jaringan T-Mobile, perusahaan tersebut kini mengungkapkan kepada Bloomberg bahwa stafnya menghabiskan waktu berbulan-bulan mencari penyusup yang dicurigai tanpa banyak keberhasilan. Akhirnya, mereka melacak perilaku tidak biasa pada salah satu sistemnya yang berasal dari router Chicago milik perusahaan telekomunikasi lain. Jeff Simon, CIO T-Mobile, mengatakan dia dan tiga orang lainnya pergi ke pusat data yang menampung perangkat yang disusupi dan “memotong kabelnya.”
* **Eksploitasi AI Semakin Canggih:** Startup AI Tiongkok Z.ai telah merilis GLM-5.3, model AI baru yang diklaim lebih cocok untuk pengkodean kompleks dan tugas jangka panjang. GLM-5.3 menunjukkan peningkatan signifikan dalam penemuan kerentanan dan eksploitasi, bahkan mampu merumuskan rencana koheren untuk rantai eksploitasi lengkap. Z.ai telah bekerja dengan beberapa tim keamanan di Tiongkok untuk menguji model sumber terbukanya terhadap basis kode dunia nyata, mengidentifikasi 2.436 kerentanan di 269 proyek, termasuk 1.097 masalah dengan tingkat keparahan sedang hingga tinggi.
Bagian yang berguna dari minggu-minggu seperti ini adalah bahwa serangan jarang dimulai dengan sihir. Mereka dimulai dengan kepercayaan, paparan, asumsi yang lemah, dan hal-hal yang tidak ada yang mengira layak disalahgunakan. Itu menyisakan banyak hal untuk diperbaiki. Perketat apa yang dipercaya, pertanyakan pengaturan default, dan terus perhatikan celah-celah kecil. Para penyerang jelas melakukannya.
