Minggu ini, lanskap keamanan siber kembali diwarnai berbagai insiden yang menunjukkan betapa rentannya sistem digital terhadap serangan. Berbagai celah keamanan, mulai dari penyalahgunaan driver terpercaya hingga kerentanan pada aplikasi populer, membuka jalan bagi para penyerang untuk melancarkan aksinya. Bahkan, kecerdasan buatan (AI) pun kini turut dimanfaatkan untuk mempermudah pengembangan eksploitasi, menurunkan tingkat kesulitan yang dibutuhkan untuk menyebabkan kerusakan signifikan.
Salah satu temuan signifikan datang dari Check Point, yang mengungkap metode baru penyalahgunaan driver sah milik Microsoft Defender, yaitu “BTR.sys” (Defender Boot-Time Removal driver). Melalui teknik rekayasa balik, peneliti Check Point berhasil mendemonstrasikan bahwa driver ini dapat dimanfaatkan sebagai mesin operasi kernel universal. Tujuannya adalah untuk melewati solusi keamanan endpoint dengan mengeksploitasi “jendela emas” antara waktu sistem memulai inisialisasi dan inisialisasi mode pengguna. Uniknya, metode ini tidak memerlukan teknik ‘bring your own vulnerable driver’ (BYOVD) yang umum digunakan. Karena BTR.sys adalah komponen sah yang ditandatangani Microsoft, pemblokiran berbasis tanda tangan menjadi tidak efektif. Peneliti keamanan Jiří Vinopal menjelaskan bahwa alat senjata yang dirancang dengan baik, seperti BTR_CLI, bahkan dapat meniru jejak operasional proses remediasi Windows Defender yang sah.
Di sisi lain, Departemen Kehakiman (DoJ) Amerika Serikat telah mendakwa 17 anggota Mabna Institute, sebuah perusahaan yang berbasis di Iran. Sejak tahun 2013, institusi ini dituduh melancarkan kampanye siber terkoordinasi yang menargetkan sistem komputer dari 144 universitas di AS, 178 universitas asing, setidaknya 42 perusahaan swasta di AS, 11 perusahaan swasta asing, 5 lembaga pemerintah federal dan negara bagian AS, serta 2 organisasi non-pemerintah (LSM). Mabna Institute dituduh mencuri lebih dari 31 TB data akademik dan kekayaan intelektual dari universitas-universitas tersebut, serta akun email karyawan dari perusahaan, lembaga pemerintah, dan LSM.
Secara total, Mabna Institute menargetkan lebih dari 100.000 akun profesor di seluruh dunia dan berhasil menyusupi sekitar 8.000 di antaranya. Para terdakwa melakukan intrusi ini atas nama Korps Garda Revolusi Islam (IRGC) Iran. Mabna Institute didirikan oleh Gholamreza Rafatnejad dan Ehsan Mohammadi sekitar tahun 2013. Kampanye tersebut dimulai sekitar tahun 2013 dan berlanjut hingga setidaknya Desember 2017, menargetkan semua jenis data akademik dan kekayaan intelektual dari sistem universitas yang disusupi. Selain mencuri data akademik dan kredensial login untuk kepentingan Pemerintah Iran, para terdakwa juga menjual data curian melalui dua situs web, Megapaper.ir dan Gigapaper.ir.
Departemen Luar Negeri AS menawarkan hadiah sebesar 10 juta dolar AS untuk informasi mengenai lima terdakwa, atau individu maupun entitas terkait. Shmuel Gihon, Pemimpin Tim Riset Keamanan di Check Point, menyatakan bahwa kasus Mabna menunjukkan privatisasi spionase negara, di mana seorang kontraktor menjual penelitian curian kepada siapa pun yang membayar, dengan IRGC sebagai klien utama. Ini menandai tren yang harus diwaspadai: kelompok-kelompok yang mampu, dapat disangkal, dan dikelola secara komersial melakukan pekerjaan tingkat negara dalam skala industri, dengan universitas sebagai target sempurna. Universitas menawarkan nilai IP yang sangat besar, kontrol identitas yang lemah, dan budaya akses terbuka yang dieksploitasi langsung oleh serangan phishing. Fenomena perpaduan antara aktivitas siber kriminal dan disponsori negara ini sebelumnya lebih banyak dikaitkan dengan kelompok berbahasa Rusia, namun kasus ini menunjukkan bahwa Iran dan IRGC semakin memainkan permainan yang sama.
Selain itu, kampanye malware Grandoreiro yang baru ditemukan memanfaatkan aplikasi sah Duplicate Files Finder (DFF) untuk menjalankan kode berbahaya melalui teknik DLL sideloading. Data telemetri dari Acronis menunjukkan bahwa aktivitas Grandoreiro masih terkonsentrasi di Amerika Latin, dengan Meksiko, Spanyol, Peru, dan Argentina menyumbang sebagian besar infeksi. Sampel awal Grandoreiro menggabungkan fungsionalitas anti-analisis yang luas, termasuk deteksi sandbox, pemeriksaan artefak mesin virtual, daftar hitam proses, dan profil lingkungan yang dirancang untuk menghindari sistem analisis otomatis. Pemeriksaan ini dilakukan sebelum upaya apa pun untuk menghubungi infrastruktur perintah-dan-kontrol (C2), menunjukkan bahwa menghindari analisis adalah prioritas utama bagi para operator.
Sementara itu, kampanye ClickFix yang dihasilkan oleh ErrTraffic telah terdeteksi mencoba mengirimkan Cruciferra. Cruciferra, pada gilirannya, menggunakan driver yang sah namun rentan (“DCRCVDrv.sys”) sebagai bagian dari serangan BYOVD untuk meningkatkan hak istimewa dan menghentikan proses keamanan. ErrTraffic, yang dijual oleh aktor ancaman bernama LenAI, adalah kerangka kerja malware-as-a-service (MaaS) dan sistem distribusi lalu lintas (TDS) yang dirancang untuk mendistribusikan berbagai ancaman melalui situs web WordPress yang disusupi, rekayasa sosial ClickFix, dan EtherHiding. Dalam beberapa bulan terakhir, ErrTraffic telah digunakan untuk mengirimkan Remus Stealer, Vidar Stealer, Okobot, LegionLoader, muatan terkait OnionDrop, dan BabaDedaLoader, menurut WatchGuard. Korban biasanya mendarat di situs WordPress yang disusupi yang disuntikkan dengan pemuat JavaScript yang dihasilkan ErrTraffic.
Perkembangan ini menggarisbawahi bahwa ancaman siber terus berevolusi, memanfaatkan celah kecil, kerentanan lama, trik penyembunyian yang aneh, hingga bantuan AI untuk meminimalkan upaya yang dibutuhkan untuk menyebabkan kerusakan. Dengan semakin canggihnya metode serangan, kewaspadaan dan pembaruan sistem keamanan menjadi krusial untuk melindungi data dan infrastruktur digital dari potensi bahaya.
