Serangan Terhadap Redis & GeoServer 2025: Monetisasi Siluman, Botnet PolarEdge, dan Cryptojacking — Ancaman Nyata untuk Infrastruktur Indonesia

Serangan Terhadap Redis & GeoServer 2025: Monetisasi Siluman, Botnet PolarEdge, dan Cryptojacking — Ancaman Nyata untuk Infrastruktur Indonesia.

TL;DR

Pelaku memonetisasi bandwidth korban secara senyap lewat aplikasi/SDK sah yang disisipkan setelah mengeksploitasi CVE-2024-36401 pada GeoServer/GeoTools.
PolarEdge membentuk jaringan Operational Relay Box (ORB) memakai perangkat firewall/router/kamera untuk relai lalu lintas ber-enkripsi.
Redis yang terbuka di internet disasar untuk cryptojacking, menambah fitur rootkit dan persistensi.
Dampak di Indonesia: IP lokal berisiko masuk daftar hitam, biaya listrik melonjak, dan insiden sulit dilacak karena aktivitas terlihat “normal”.
Prioritas: segmentasi jaringan, patch cepat, hardening Redis, deteksi anomali egress, serta pemantauan integritas sistem.

1) Tren Monetisasi Baru: GeoServer/GeoTools Dieksploitasi (CVE-2024-36401)

Apa yang terjadi

Penyerang membidik GeoServer/GeoTools yang terekspos internet dan mengeksploitasi CVE-2024-36401 (RCE, CVSS 9.8). Akses yang didapat dipakai menanam eksekutabel berbasis Dart yang berkomunikasi dengan layanan “passive income” (mis. bandwidth sharing/residential proxies). Biner ini sengaja hemat sumber daya, tidak menambang kripto, dan tidak membuat lonjakan CPU mencolok.

Kenapa sulit terdeteksi

Perilaku mirip aplikasi sah (menggunakan SDK/monetisasi legal).
Konsumsi sumber daya rendah dan intermiten.
Distribusi file melalui layanan mirip transfer.sh sehingga tidak tampak seperti server C2 klasik.

Implikasi

Model ini menggeser fokus dari “merusak” ke “menyedot nilai secara diam-diam”. Tujuannya jangka panjang, profil rendah, dan stabil—lebih menyerupai gray monetization ketimbang serangan bising.

Indikator awal yang patut dicurigai

Proses baru berbasis Dart berjalan periodik.
Koneksi keluar ke layanan file-sharing privat/unik; pola egress kecil namun berulang.
GeoServer membuat koneksi ke domain yang tak terkait peta/OGC.

2) PolarEdge: Botnet ORB dengan Backdoor TLS Kustom

Ringkasannya

PolarEdge menunggangi kerentanan perangkat enterprise firewall dan perangkat konsumer (router, IP camera, VoIP) untuk membangun jaringan Operational Relay Box (ORB). Setelah masuk, penyerang memasang backdoor TLS berbasis Mbed TLS pada port tinggi non-standar untuk C2 terenkripsi, pembersihan jejak log, dan pembaruan infrastruktur dinamis.

Mengapa berbahaya

Relai lalu lintas tanpa mengganggu fungsi utama perangkat, sehingga pemilik/ISP jarang curiga.
Sangat cocok dipakai serangan lanjutan, penyamaran identitas, dan mengelabui pemantauan perimeter.
Distribusi global, dengan konsentrasi besar di beberapa negara; pola seperti ini mudah “menjalar” ke ekosistem perangkat di Asia Tenggara.

Tanda-tanda teknis

Koneksi keluar TLS menuju rentang IP/ASN tak lazim dari perangkat IoT.
Layanan mendengarkan di port tinggi yang tidak sesuai profil perangkat.
Perubahan kecil pada konfigurasi log/rotasi log.

3) Varian Mirai “gayfemboy”: Target Meluas, Arsitektur Beragam

Kemampuan utama

Monitor: pantau thread/proses, tambah persistensi & sandbox evasion.
Watchdog: bind ke UDP 47272.
Attacker: DDoS (UDP/TCP/ICMP) + backdoor command receiver.
Killer: terminasi diri bila terdeteksi/sandbox.

Dengan dukungan ARM, AArch64, MIPS, PowerPC, i386, kampanye ini bisa menjangkau router lama, NVR CCTV, hingga server x86 minim pengamanan. Modifikasi dari Mirai memperkuat evasiveness dan ketahanan.

Apa artinya di lapangan

Organisasi yang mengandalkan perangkat jaringan SOHO, pabrik ber-OT ringan, media/ISP kecil, dan startup teknologi berisiko tinggi karena pola patch yang tidak disiplin dan visibilitas terbatas.

4) Redis Terekspos: Cryptojacking Berevolusi (TA-NATALSTATUS)

Modus

Pelaku memindai Redis tanpa autentikasi (default port 6379), menyalahgunakan CONFIG/SET/SAVE untuk menanam cron yang mengeksekusi skrip: mematikan SELinux, memblokir akses eksternal ke port Redis (mengunci pintu untuk saingan), membunuh miner lain, memasang masscan/pnscan, dan menjadwalkan persistensi per jam.

Level stealth baru

Mengganti utilitas sistem: ps/top jadi ps.original/top.original dan memasang wrapper agar proses miner tak terlihat.
Mengganti curl/wget menjadi nama acak (cd1, wd1) untuk melewati aturan EDR yang memantau nama biner umum.
Timestamp forgery pada file untuk mengecoh forensik.

Dampak praktis
Lonjakan tagihan listrik, penurunan performa server, dan kerusakan reputasi IP. Karena pintu masuk ditutup dari luar, tim lain bisa kesulitan melakukan remote rescue tanpa akses alternatif.

5) Dampak untuk Indonesia: Kenapa Harus Peduli?

IP lokal berisiko diblokir: Jika perangkat/residential IP dipakai sebagai proxy atau bagian botnet, IP Indonesia bisa masuk daftar hitam layanan global. Efeknya: email bounce, layanan SaaS menolak koneksi, kampanye iklan terganggu.
GIS pemerintah & kampus: Banyak instansi memakai GeoServer untuk peta tematik. Eksploitasi CVE-2024-36401 dapat menyusup tanpa gejala dan menyedot bandwidth lembaga.
UKM & startup: Perangkat router/CCTV murah yang jarang di-patch menjadi ORM/relay favorit. Dampak bisnis terasa pada latensi, downtime, dan kepercayaan pelanggan.
Biaya energi: Cryptojacking pada server cloud/on-prem menaikkan biaya listrik/instances secara pelan namun signifikan.
Penegakan hukum & atribusi: Lalu lintas ber-enkripsi dari port tinggi non-standar mempersulit triase; serangan lanjutan bisa kelihatan “berasal dari Indonesia” padahal hanya melintas.

6) Strategi Pertahanan yang Realistis

6.1 Patch & Isolasi

GeoServer/GeoTools: perbarui segera, isolasi di subnet tersegmentasi, hanya buka endpoint OGC yang perlu, pasang WAF/Reverse Proxy di depan.
Perangkat edge (router, firewall, kamera): pastikan firmware terbaru; matikan admin panel internet-facing, aktifkan auto-update jika tersedia.

6.2 Hardening Redis

Jangan mengekspos port 6379 ke internet. Gunakan bind 127.0.0.1 atau VPC/subnet privat, TLS, ACL/requirepass, dan protected-mode yes.
Pantau konfigurasi CONFIG GET berkala; drift menunjukkan kompromi.
Terapkan egress allow-list agar server Redis tidak bisa keluar semaunya.

6.3 Deteksi & Hunting

Cari proses mencurigakan (nama acak) yang membuka UDP 47272 atau port tinggi TLS.
Anomali egress berukuran kecil tapi reguler ke domain/file-sharing privat.
Periksa hash/perubahan pada ps, top, curl, wget (bandingkan dengan paket sistem).
Log yang “tiba-tiba rapi/hilang” pada perangkat IoT adalah sinyal manipulasi.
Gunakan FIM (AIDE/Tripwire), ETW/auditing untuk server Windows, dan Sysmon/eBPF di Linux modern.

6.4 Arsitektur & Kebijakan

Terapkan Zero Trust di layanan admin: SSO, MFA, dan IP allow-list.
Network segmentation: pisahkan jalur IoT/OT dari aset TI inti dan sumber data sensitif.
Rate limit & anomaly guard di reverse proxy/CDN untuk mencegah penyalahgunaan bandwidth.
IR playbook khusus cryptojacking: prosedur kilat memutus koneksi, containment, validasi integritas biner, pemulihan cron/systemd, dan rotasi kredensial.

7) Indikator & Tanda Praktis (Ringkasan)

Port: layanan mendengarkan di port tinggi TLS pada perangkat non-server; UDP 47272 aktif.
Proses: biner Dart atau nama acak dengan aktivitas jaringan periodik.
File sistem: ps/top jadi *.original, keberadaan wrapper; curl/wget diganti nama.
Jaringan: egress kecil-rutin ke domain transfer/file-sharing privat; lonjakan lalu lintas relai.
Konfigurasi: Redis bind ke 0.0.0.0, tanpa autentikasi, dan ada cron yang tidak didokumentasikan.

Ancaman 2025 ini kurang “heboh” tapi lebih berbahaya karena menyaru sebagai trafik normal dan monetisasi legal. Di Indonesia—di mana perangkat SOHO banyak dipakai bisnis kecil dan GeoServer eksis di kampus/instansi—model ini akan menggerus keandalan jaringan dan reputasi IP pelan-pelan. Dampak bisnis muncul bukan dari server mati, melainkan dari kredensial bocor, biaya meningkat, pelanggan sulit mengakses layanan karena IP sudah di-blacklist, dan investigasi yang berlarut karena jejaknya rapi.

Fokus pertahanan harus bergeser dari sekadar menutup CVE baru menjadi mengontrol paparan layanan, mengeras-kan konfigurasi, dan menganalisis egress anomali. Kombinasi patch cepat + segmentasi + kebijakan egress + integritas sistem adalah empat serangkai yang paling efektif. Lakukan hal yang sederhana lebih dulu: tutup Redis publik, perbarui GeoServer, audit perangkat edge, dan pasang alarm untuk port tinggi TLS/UDP 47272. Dengan disiplin itu, organisasi di Indonesia bisa mematahkan pola monetisasi siluman sebelum tumbuh menjadi kerugian nyata.

Ethical Hacking Indonesia