Pekan ini, dunia siber kembali dihebohkan dengan berbagai ancaman baru yang memanfaatkan celah kepercayaan dan kerentanan sistem. Mulai dari driver yang disalahgunakan, aplikasi sah yang menjadi kedok malware, hingga celah kecil yang membuka pintu eksekusi kode jarak jauh. Berbagai insiden ini menunjukkan bahwa para penyerang semakin cerdik dalam menemukan cara untuk menyusup dan menyebabkan kerusakan, seringkali dengan upaya minimal. Ancaman terus berkembang, dan kewaspadaan adalah kunci.
Salah satu temuan paling mencolok datang dari Check Point, yang berhasil merekayasa balik driver penghapus Microsoft Defender, “BTR.sys”. Mereka menunjukkan bagaimana driver yang sah ini dapat diubah fungsinya menjadi mesin operasi kernel universal. Tujuannya? Melewati solusi keamanan endpoint dengan mengeksploitasi “jendela emas” antara startup sistem dan inisialisasi mode pengguna, tanpa perlu menggunakan metode “bring your own vulnerable driver” (BYOVD). Peneliti keamanan Jiří Vinopal menekankan bahwa karena BTR.sys adalah komponen resmi Microsoft yang ditandatangani, pemblokiran berbasis tanda tangan menjadi tidak efektif. Lebih lanjut, alat persenjataan yang dirancang dengan baik, seperti BTR_CLI, sengaja meniru jejak operasional proses remediasi Windows Defender yang sah.
Sementara itu, Departemen Kehakiman AS (DoJ) telah mendakwa 17 anggota Mabna Institute, sebuah perusahaan asal Iran. Sejak 2013, mereka dituduh melancarkan kampanye siber terkoordinasi terhadap 144 universitas di AS, 178 universitas asing, 42 perusahaan sektor swasta di AS, 11 perusahaan sektor swasta asing, lima lembaga pemerintah AS, dan dua organisasi non-pemerintah (LSM). Mabna Institute dituduh mencuri lebih dari 31 TB data akademik dan kekayaan intelektual, serta akun email karyawan dari berbagai entitas tersebut. Secara keseluruhan, mereka menargetkan lebih dari 100.000 akun profesor di seluruh dunia dan berhasil menyusupi sekitar 8.000 di antaranya. Aksi ini dilakukan atas nama Korps Garda Revolusi Islam (IRGC) Iran. Departemen Luar Negeri AS menawarkan hadiah 10 juta dolar AS untuk informasi mengenai lima terdakwa atau individu/entitas terkait.
Dalam serangan lain, kampanye malware Grandoreiro terbaru ditemukan menyalahgunakan aplikasi sah Duplicate Files Finder (DFF) untuk menjalankan kode berbahaya melalui DLL sideloading. Data telemetri dari Acronis menunjukkan bahwa aktivitas Grandoreiro masih terkonsentrasi di Amerika Latin, dengan Meksiko, Spanyol, Peru, dan Argentina menjadi negara yang paling banyak terinfeksi. Sampel awal malware ini dilengkapi dengan fungsionalitas anti-analisis yang canggih, termasuk deteksi sandbox, pemeriksaan artefak mesin virtual, daftar hitam proses, dan profil lingkungan untuk menghindari sistem analisis otomatis. Prioritas utama operator malware ini adalah menghindari analisis, terlihat dari pemeriksaan ini yang dilakukan sebelum upaya menghubungi infrastruktur command-and-control (C2).
Kampanye ClickFix yang dihasilkan oleh ErrTraffic juga diamati berusaha menyebarkan Cruciferra, yang kemudian menggunakan driver sah namun rentan (“DCRCVDrv.sys”) sebagai bagian dari serangan BYOVD untuk meningkatkan hak istimewa dan menghentikan proses keamanan. ErrTraffic, yang dijual oleh aktor ancaman bernama LenAI, adalah kerangka kerja malware-as-a-service (MaaS) dan sistem distribusi lalu lintas (TDS) yang dirancang untuk menyebarkan berbagai ancaman melalui situs web WordPress yang disusupi, rekayasa sosial ClickFix, dan EtherHiding. Dalam beberapa bulan terakhir, ErrTraffic telah digunakan untuk menyebarkan Remus Stealer, Vidar Stealer, Okobot, LegionLoader, payload terkait OnionDrop, dan BabaDedaLoader, menurut WatchGuard.
Di sisi lain, OpenAI memperkenalkan pendekatan keamanan berpusat pada privasi untuk memantau penyalahgunaan model AI mereka, yang disebut Private Safety Processing. Layanan baru ini memungkinkan pemantauan potensi penyalahgunaan tanpa menyimpan data pelanggan. Untuk penyebaran Zero Data Retention (ZDR), konten pelanggan tetap berada di infrastruktur yang dikendalikan pelanggan. Ada juga opsi di mana konten disimpan di infrastruktur OpenAI, dienkripsi dengan kunci yang dikendalikan pelanggan. Dalam kedua kasus, sistem otomatis dapat mengidentifikasi potensi penyalahgunaan dan mengembalikan sinyal keamanan terbatas tanpa mengekspos prompt atau respons dasar kepada personel OpenAI. Langkah ini tampaknya menargetkan Anthropic, pesaing yang memiliki kebijakan retensi 30 hari untuk pelanggan bisnis yang menggunakan model kelas Mythos mereka. Google juga menunjukkan kemajuan dengan Homomorphic Encryption Intermediate Representation (HEIR), yang memungkinkan inferensi AI pribadi yang aman secara kriptografis pada input terenkripsi.
Namun, di tengah upaya menjaga keamanan, muncul layanan AI baru bernama Kriminal AI yang menawarkan jawaban tanpa filter atau batasan yang biasanya diterapkan oleh platform AI lainnya. Kriminal.AI mengklaim memberikan “intelijen mentah, tanpa sensor — pertanyaan yang ditolak oleh AI lain.” Layanan ini, yang memiliki lebih dari 2.300 pengguna, mengikuti jejak WormGPT, FraudGPT, dan Xanthorox, menarik pengguna yang frustrasi dengan batasan etika dan keamanan pada model AI yang banyak digunakan. Langganan Kriminal AI dimulai dari $12.99/bulan hingga $99.00/bulan. Yang lebih mengkhawatirkan, layanan ini dapat diakses di clearnet, bukan di dark web, dengan slogan “No filters. No guardrails. No ‘I can’t help with that.’ Kriminal.AI gives you raw, uncut intelligence — the questions other AIs refuse to touch.”
Dalam perkembangan lain, Apple setuju untuk melakukan perubahan pada fitur App Tracking Transparency (ATT) di Jerman, setelah Kantor Kartel Federal (FCO) menemukan bahwa fitur tersebut memberikan prompt persetujuan yang lebih menguntungkan untuk aplikasi Apple sendiri dibandingkan dengan aplikasi pengembang pihak ketiga. Apple memiliki waktu empat bulan untuk menerapkan perubahan ini, yang akan berlaku di hampir semua negara Uni Eropa. FCO menyatakan bahwa perbedaan antara permintaan persetujuan yang digunakan untuk penawaran Apple sendiri dan yang ditetapkan Apple untuk aplikasi pihak ketiga melebihi apa yang dapat dibenarkan berdasarkan perbedaan jenis pemrosesan data. Ini bukan kali pertama Apple menghadapi masalah terkait ATT; pada Desember 2025, Apple didenda €98,6 juta oleh otoritas antimonopoli Italia karena ATT membatasi persaingan di App Store.
Dari sektor industri, Tim82 Claroty menemukan 23 kerentanan pada kontroler Copeland XWEB Pro, termasuk yang dapat dirantai untuk melewati mekanisme keamanan dan mencapai eksekusi kode jarak jauh tingkat root. Kontroler yang disusupi dapat digunakan untuk memanipulasi peralatan pendingin dari jarak jauh, termasuk kipas pendingin dan kompresor, serta menyembunyikan peningkatan suhu yang dihasilkan saat makanan membusuk. Beberapa kerentanan juga diungkapkan pada kontroler pendingin Danfoss AK-SM 800A, termasuk mekanisme otentikasi “kode-hari” tersembunyi yang dapat disalahgunakan untuk melewati otentikasi normal, serta kerentanan injeksi perintah yang mengarah ke eksekusi kode jarak jauh. Sebuah cacat kedua memungkinkan pengguna yang terautentikasi untuk menyuntikkan arahan konfigurasi Nginx arbitrer, yang dapat disalahgunakan untuk memanipulasi lalu lintas web dan memicu kondisi penolakan layanan. Semua kerentanan yang teridentifikasi telah diperbaiki oleh vendor masing-masing.
Terakhir, sebuah backdoor Windows yang ditulis tangan ditemukan menyembunyikan domain C2-nya sebagai jumlah spasi di akhir baris dalam file desktop.ini palsu. Backdoor berukuran 12 KB ini ditemukan oleh Gen Digital pada satu workstation perusahaan saat mencari persistensi WMI yang tidak biasa. Malware ini berukuran kecil, memiliki set perintah terbatas, dan menyamar sebagai perangkat lunak Realtek yang sah. Fitur paling tidak biasa adalah konfigurasinya: alamat server command-and-control-nya tidak disimpan sebagai teks yang dapat dibaca atau data terenkripsi, melainkan dikodekan dalam jumlah spasi pada setiap baris file ‘desktop.ini’ Windows. Bagi pengguna, dan banyak sistem inspeksi otomatis, file tersebut akan tampak hampir kosong. Namun, bagi malware, spasi-spasi tersebut mengeja alamat servernya. Tidak ada bukti yang menghubungkan backdoor ini dengan aktor ancaman yang dikenal, dan tidak adanya sampel terkait menunjukkan bahwa ini mungkin merupakan operasi yang ditargetkan secara sengaja.
