Dunia siber kembali diguncang dengan serangkaian ancaman yang menunjukkan bagaimana kerentanan kecil dapat dimanfaatkan untuk menyebabkan kerusakan besar. Pekan ini, berbagai laporan menyoroti metode serangan yang semakin canggih, mulai dari penyalahgunaan driver yang sah hingga eksploitasi kecerdasan buatan (AI) yang mempermudah peretasan. Ironisnya, banyak masalah bermula dari sistem yang dipercaya, melakukan persis apa yang diizinkan untuk dilakukan, namun dengan maksud jahat.
Salah satu temuan mengejutkan datang dari Check Point, yang berhasil merekayasa balik driver Microsoft Defender Boot-Time Removal (BTR.sys). Mereka menunjukkan bahwa driver yang ditandatangani secara sah ini dapat diubah fungsinya menjadi mesin operasi kernel universal. Ini memungkinkan peretas untuk melewati solusi keamanan endpoint dengan mengeksploitasi ‘jendela emas’ antara waktu sistem mulai dan inisialisasi mode pengguna, tanpa harus bergantung pada metode ‘bring your own vulnerable driver’ (BYOVD) yang lebih umum. Karena BTR.sys adalah komponen sah yang ditandatangani Microsoft, pemblokiran berbasis tanda tangan menjadi tidak efektif, dan alat persenjataan yang dirancang dengan baik dapat meniru jejak operasional proses remediasi Windows Defender yang sah.
Di sisi lain, Departemen Kehakiman AS (DoJ) telah mengajukan tuntutan terhadap 17 anggota Mabna Institute, sebuah perusahaan berbasis di Iran. Sejak tahun 2013, mereka diduga melakukan kampanye intrusi siber terkoordinasi ke dalam sistem komputer milik 144 universitas di AS, 178 universitas asing, 42 perusahaan sektor swasta di AS, 11 perusahaan sektor swasta asing, 5 lembaga pemerintah federal dan negara bagian AS, serta 2 organisasi non-pemerintah (LSM). Mabna Institute dituduh mencuri lebih dari 31 TB data akademik dan kekayaan intelektual dari universitas-universitas tersebut, serta akun email karyawan dari perusahaan, lembaga pemerintah, dan LSM.
Secara keseluruhan, Mabna Institute menargetkan lebih dari 100.000 akun profesor di seluruh dunia, dengan sekitar 8.000 di antaranya berhasil dikompromikan. Para terdakwa melakukan intrusi ini atas nama Korps Garda Revolusi Islam (IRGC) Iran. Mabna Institute didirikan oleh Gholamreza Rafatnejad dan Ehsan Mohammadi sekitar tahun 2013. Kampanye ini dimulai sekitar tahun 2013, berlanjut setidaknya hingga Desember 2017, dan secara luas menargetkan semua jenis data akademik dan kekayaan intelektual dari sistem universitas yang dikompromikan. Selain mencuri data akademik dan kredensial login untuk kepentingan Pemerintah Iran, para terdakwa juga menjual data curian melalui dua situs web, Megapaper.ir dan Gigapaper.ir. Departemen Luar Negeri AS menawarkan hadiah 10 juta dolar AS (sekitar Rp160 miliar) untuk informasi mengenai lima terdakwa, atau individu dan entitas terkait.
Shmuel Gihon, Pemimpin Tim Riset Keamanan di Check Point, mengatakan bahwa Mabna Institute merupakan contoh privatisasi spionase negara: kontraktor yang menjual penelitian curian kepada siapa pun yang membayar, dengan IRGC sebagai klien utama daripada pemilik tunggal. Tren ini menunjukkan kru yang mampu, dapat disangkal, dan dijalankan secara komersial melakukan pekerjaan tingkat negara dalam skala industri, dengan universitas sebagai target yang sempurna karena menawarkan nilai IP yang sangat besar, kontrol identitas yang lemah, dan budaya akses terbuka yang dieksploitasi langsung melalui phishing. Meskipun perpaduan aktivitas siber-kriminal dan yang disponsori negara telah terlihat sebelumnya, secara historis lebih sering dikaitkan dengan kru berbahasa Rusia. Kasus ini menunjukkan bahwa Iran dan IRGC semakin memainkan permainan yang sama.
Selain itu, kampanye malware Grandoreiro baru ditemukan menyalahgunakan aplikasi sah Duplicate Files Finder (DFF) untuk menjalankan kode berbahaya melalui DLL sideloading. Data telemetri dari Acronis menunjukkan bahwa aktivitas Grandoreiro masih terkonsentrasi di Amerika Latin, dengan Meksiko, Spanyol, Peru, dan Argentina menyumbang sebagian besar infeksi. Sampel awal Grandoreiro memiliki fungsionalitas anti-analisis yang luas, termasuk deteksi sandbox, pemeriksaan artefak mesin virtual, daftar hitam proses, dan profil lingkungan yang dirancang untuk menghindari sistem analisis otomatis. Pemeriksaan ini dilakukan sebelum upaya apa pun untuk menghubungi infrastruktur command-and-control (C2), menunjukkan bahwa menghindari analisis adalah prioritas tinggi bagi operator.
Ancaman lain datang dari kampanye ClickFix yang dihasilkan ErrTraffic, yang mencoba mengirimkan Cruciferra. Malware ini menggunakan driver sah namun rentan (DCRCVDrv.sys) sebagai bagian dari serangan BYOVD untuk meningkatkan hak istimewa dan menghentikan proses keamanan. ErrTraffic, yang dijual oleh aktor ancaman bernama LenAI, adalah kerangka kerja malware-as-a-service (MaaS) dan sistem distribusi lalu lintas (TDS) yang dirancang untuk mendistribusikan berbagai ancaman melalui situs web WordPress yang disusupi, rekayasa sosial ClickFix, dan EtherHiding. Dalam beberapa bulan terakhir, ErrTraffic telah digunakan untuk mengirimkan Remus Stealer, Vidar Stealer, Okobot, LegionLoader, payload terkait OnionDrop, dan BabaDedaLoader.
Semua insiden ini menggarisbawahi bahwa celah kecil dan kepercayaan yang disalahgunakan dapat menjadi pintu gerbang bagi serangan siber yang merusak. Dengan semakin canggihnya metode peretasan dan penggunaan AI dalam penelitian eksploitasi, upaya untuk menyebabkan kerusakan menjadi semakin mudah. Oleh karena itu, kewaspadaan dan pembaruan sistem keamanan secara berkala menjadi kunci untuk melindungi diri dari ancaman yang terus berkembang ini.
