Minggu ini, kita kembali disuguhkan dengan berbagai ancaman siber yang menunjukkan betapa mudahnya sistem yang seharusnya terpercaya bisa disalahgunakan. Mulai dari driver yang ditandatangani disulap menjadi senjata, aplikasi sah yang membantu penyebaran malware, hingga celah kecil pada pemeriksaan header yang membuka jalan bagi eksekusi kode. Di sisi lain, sistem yang terekspos, bug lama, trik penyembunyian yang aneh, dan riset eksploitasi yang dibantu AI semakin menurunkan upaya yang dibutuhkan untuk menyebabkan kerusakan. Semua ini menunjukkan bahwa celah-celah kecil sekalipun dapat dimanfaatkan untuk menimbulkan masalah besar.
Salah satu temuan menarik datang dari Check Point yang berhasil merekayasa ulang driver Microsoft Defender (“BTR.sys”). Mereka menunjukkan bahwa driver remediasi yang sah ini dapat diubah fungsinya menjadi mesin operasi kernel universal. Tujuannya? Untuk melewati solusi keamanan endpoint dengan memanfaatkan “jendela emas” antara awal sistem dan inisialisasi mode pengguna, tanpa perlu menggunakan metode “bring your own vulnerable driver” (BYOVD). Peneliti keamanan Jiří Vinopal menjelaskan, karena BTR.sys adalah komponen yang ditandatangani Microsoft, pemblokiran berbasis tanda tangan menjadi tidak efektif. Bahkan, alat persenjataan yang dirancang dengan baik, seperti BTR_CLI, sengaja meniru jejak operasional proses remediasi Windows Defender yang sah.
Dari ranah kejahatan siber yang lebih terorganisir, Departemen Kehakiman AS (DoJ) telah mendakwa 17 anggota Mabna Institute, sebuah perusahaan asal Iran. Sejak tahun 2013, mereka dituduh melakukan kampanye intrusi siber terkoordinasi terhadap 144 universitas di AS, 178 universitas asing, setidaknya 42 perusahaan swasta di AS, 11 perusahaan swasta asing, lima lembaga pemerintah federal dan negara bagian AS, serta dua organisasi non-pemerintah (LSM). Mabna Institute dituduh mencuri lebih dari 31 TB data akademik dan kekayaan intelektual, serta akun email karyawan dari berbagai entitas tersebut. Totalnya, lebih dari 100.000 akun profesor di seluruh dunia menjadi target, dengan sekitar 8.000 di antaranya berhasil disusupi. Operasi ini dilakukan atas nama Korps Garda Revolusi Islam (IRGC) Iran.
Mabna Institute, yang didirikan oleh Gholamreza Rafatnejad dan Ehsan Mohammadi sekitar tahun 2013, diduga menjual data curian melalui situs web Megapaper.ir dan Gigapaper.ir. Departemen Luar Negeri AS bahkan menawarkan hadiah $10 juta untuk informasi tentang lima terdakwa atau individu/entitas terkait. Shmuel Gihon dari Check Point menyoroti bahwa kasus Mabna merepresentasikan “privatisasi spionase negara,” di mana kontraktor menjual riset curian kepada penawar tertinggi, dengan IRGC sebagai klien utama. Ini menunjukkan tren kru yang kompeten, dapat disangkal, dan dijalankan secara komersial melakukan pekerjaan tingkat negara dalam skala industri, dengan universitas sebagai target sempurna karena nilai IP yang tinggi, kontrol identitas yang lemah, dan budaya akses terbuka yang mudah dieksploitasi phishing.
Ancaman lain datang dari kampanye malware Grandoreiro yang baru. Malware ini ditemukan menyalahgunakan aplikasi sah Duplicate Files Finder (DFF) untuk menjalankan kode berbahaya melalui DLL sideloading. Data telemetri dari Acronis menunjukkan aktivitas Grandoreiro masih terkonsentrasi di Amerika Latin, dengan Meksiko, Spanyol, Peru, dan Argentina menjadi wilayah infeksi terbesar. Sampel awal malware ini dilengkapi dengan fungsionalitas anti-analisis yang ekstensif, termasuk deteksi sandbox, pemeriksaan artefak mesin virtual, daftar hitam proses, dan profil lingkungan untuk menghindari sistem analisis otomatis. Ini menunjukkan prioritas tinggi operator untuk menghindari deteksi.
Sementara itu, kampanye ClickFix yang dihasilkan oleh ErrTraffic ditemukan mencoba menyebarkan Cruciferra. Cruciferra, pada gilirannya, menggunakan driver sah namun rentan (“DCRCVDrv.sys”) sebagai bagian dari serangan BYOVD untuk meningkatkan hak istimewa dan menghentikan proses keamanan. ErrTraffic, yang dijual oleh aktor ancaman bernama LenAI, adalah kerangka kerja malware-as-a-service (MaaS) dan sistem distribusi lalu lintas (TDS) yang dirancang untuk mendistribusikan berbagai ancaman melalui situs web WordPress yang disusupi, rekayasa sosial ClickFix, dan EtherHiding. Dalam beberapa bulan terakhir, ErrTraffic telah digunakan untuk menyebarkan Remus Stealer, Vidar Stealer, Okobot, LegionLoader, payload terkait OnionDrop, dan BabaDedaLoader.
Di bidang kecerdasan buatan, OpenAI mengumumkan pendekatan keamanan yang berpusat pada privasi untuk memantau penyalahgunaan model. Mereka sedang menguji layanan baru bernama Private Safety Processing kepada pelanggan terpilih, yang memantau potensi penyalahgunaan tanpa menyimpan data pelanggan. Untuk penyebaran ZDR, konten pelanggan tetap berada di infrastruktur yang dikendalikan pelanggan. Ada juga opsi di mana konten disimpan di infrastruktur OpenAI, dienkripsi dengan kunci yang dikendalikan oleh pelanggan. Dalam kedua kasus, sistem otomatis dapat mengidentifikasi potensi penyalahgunaan dan mengembalikan sinyal keamanan terbatas tanpa mengekspos prompt atau respons dasar kepada personel OpenAI. Langkah ini tampaknya menargetkan pesaing Anthropic, yang memiliki kebijakan retensi 30 hari untuk pelanggan bisnis yang menggunakan model kelas Mythos-nya. Google juga ikut serta dengan memamerkan Homomorphic Encryption Intermediate Representation (HEIR), yang memungkinkan inferensi AI pribadi yang aman secara kriptografis pada input terenkripsi.
Namun, di sisi lain, muncul layanan AI baru bernama Kriminal AI yang menawarkan pelanggan berbayar cara untuk mendapatkan jawaban tentang apa pun, tanpa filter atau batasan yang biasanya diterapkan oleh platform AI. Kriminal.AI mengklaim memberikan “intelijen mentah, tanpa sensor — pertanyaan yang tidak berani disentuh oleh AI lain.” Layanan ini mengklaim memiliki lebih dari 2.300 pengguna dan mengikuti jejak WormGPT, FraudGPT, dan Xanthorox ke pasar yang berkembang pesat untuk menarik pengguna yang mungkin frustrasi dengan pengamanan keamanan dan etika yang tertanam dalam model yang banyak digunakan. Yang lebih mengkhawatirkan, layanan ini dapat diakses di clearnet, bukan dark web, dengan slogan: “Tanpa filter. Tanpa batasan. Tanpa ‘Saya tidak bisa membantu itu.’ Kriminal.AI memberi Anda intelijen mentah, tanpa sensor — pertanyaan yang tidak berani disentuh oleh AI lain.” Menurut ThreatDown, layanan ini tampaknya menggunakan Grok untuk inferensi utama; Google Cloud dan Cloudflare untuk hosting; Claude dari Anthropic untuk lapisan model konteks panjang; Llama yang dirutekan melalui OpenRouter untuk tugas-tugas khusus tertentu; Tavily untuk pencarian langsung; NowPayments untuk pembayaran kripto (tanpa KYC); dan Cloudflare/Let’s Encrypt untuk DNS dan TLS.
Apple juga telah setuju untuk melakukan perubahan pada fitur App Tracking Transparency (ATT) di Jerman, setelah Kantor Kartel Federal (FCO) menemukan bahwa fitur tersebut memberikan prompt persetujuan yang lebih menguntungkan untuk aplikasi Apple sendiri dibandingkan dengan aplikasi pengembang pihak ketiga. Apple memiliki waktu empat bulan untuk mengimplementasikan perubahan tersebut, yang akan berlaku di hampir semua negara Uni Eropa. FCO menyatakan bahwa perbedaan antara permintaan persetujuan yang digunakan untuk penawaran Apple sendiri dan permintaan persetujuan yang ditentukan sebelumnya oleh Apple untuk aplikasi pihak ketiga melebihi apa yang dapat dibenarkan berdasarkan perbedaan jenis pemrosesan data. Ini berpotensi mendorong pengguna untuk memberikan persetujuan pada aplikasi Apple, sementara menghambat persetujuan untuk aplikasi pihak ketiga. Apple pernah didenda €98,6 juta (saat itu $116 juta) pada Desember 2025 oleh otoritas antimonopoli Italia karena ATT dianggap membatasi persaingan App Store.
Ancaman fisik juga tak luput dari perhatian. Tim Claroty, Team82, menemukan 23 kerentanan pada pengontrol Copeland XWEB Pro, termasuk yang dapat dirantai untuk melewati mekanisme keamanan dan mencapai eksekusi kode jarak jauh tingkat root. Pengontrol yang disusupi dapat digunakan untuk memanipulasi peralatan pendingin dari jarak jauh, termasuk kipas pendingin dan kompresor, serta menyembunyikan peningkatan suhu yang dihasilkan saat makanan membusuk secara diam-diam. Beberapa kerentanan juga diungkapkan pada pengontrol pendingin Danfoss AK-SM 800A, termasuk “mekanisme otentikasi ‘kode-hari’ tersembunyi yang dapat disalahgunakan untuk melewati otentikasi normal, kerentanan injeksi perintah yang menyebabkan eksekusi kode jarak jauh.” Cacat kedua memungkinkan pengguna yang terotentikasi untuk menyuntikkan arahan konfigurasi Nginx arbitrer, yang dapat disalahgunakan untuk memanipulasi lalu lintas web dan memicu kondisi penolakan layanan. Semua kerentanan yang teridentifikasi telah diperbaiki oleh vendor masing-masing.
Terakhir, sebuah backdoor Windows yang ditulis tangan ditemukan menyembunyikan domain C2-nya sebagai jumlah spasi di akhir file desktop.ini palsu. Backdoor berukuran 12 KB ini ditemukan oleh Gen Digital pada satu workstation perusahaan saat mencari persistensi WMI yang tidak biasa. Malware ini kecil, memiliki kumpulan perintah terbatas, dan menyamar sebagai perangkat lunak Realtek yang sah. Fitur paling tidak biasa adalah konfigurasinya: alamat server command-and-control-nya tidak disimpan sebagai teks yang dapat dibaca atau data terenkripsi, tetapi dikodekan dalam jumlah spasi pada setiap baris file ‘desktop.ini’ Windows. Bagi pengguna dan banyak sistem inspeksi otomatis, file tersebut akan tampak hampir kosong. Namun, bagi malware, spasi-spasi tersebut mengeja alamat servernya. Tidak ada bukti yang menghubungkan backdoor ini dengan aktor ancaman yang dikenal, dan tidak adanya sampel terkait menunjukkan bahwa ini mungkin merupakan operasi yang ditargetkan secara sengaja.
