Kelompok Siber Iran Nimbus Manticore Sasar Eropa dan Timur Tengah, Manfaatkan Modus Lowongan Kerja Palsu - Ethical Hacking Indonesia

Sebuah kelompok peretas yang diduga disponsori negara Iran, dikenal dengan nama Nimbus Manticore, teridentifikasi memperluas jangkauan serangannya ke sejumlah negara di kawasan Timur Tengah dan Eropa. Temuan ini diungkap dalam analisis terbaru perusahaan keamanan siber asal Singapura, Group-IB, yang dipublikasikan pada 26 Agustus 2026 melalui peneliti Mansour Alhmoud dan Mohamed Emam.

Aktor Ancaman

Nimbus Manticore dikenal pula dengan sejumlah nama alias, di antaranya GalaxyGato, Mirage Kitten, Screening Serpens, Smoke Sandstorm, Subtle Snail, dan UNC1549. Kelompok ini disebut terafiliasi dengan Islamic Revolutionary Guard Corps (IRGC) dan memiliki keterkaitan dengan unit Tortoiseshell (juga dikenal sebagai Imperial Kitten atau Unyielding Wasp) yang berada di bawah kluster Charming Kitten, salah satu kelompok siber Iran yang telah lama dipantau oleh komunitas keamanan siber global.

Target: Sektor Pertahanan, Kedirgantaraan, hingga Militer

Berdasarkan laporan Group-IB, sasaran utama kelompok ini adalah sektor pertahanan, kedirgantaraan, penyedia layanan IT, dan militer. Infrastruktur serangan terbaru yang berhasil diidentifikasi menunjukkan indikasi perluasan target ke negara-negara di kawasan Timur Tengah dan Eropa.

Jalur Serangan: Tawaran Pekerjaan Palsu

Vektor penetrasi awal yang digunakan Nimbus Manticore adalah rekayasa sosial bertema tawaran pekerjaan, yang dikenal sebagai Dream Job campaign. Melalui modus ini, pelaku menjebak target agar mengunduh file yang disamarkan sebagai dokumen lowongan kerja, padahal berisi malware.

Alat dan Malware yang Ditemukan

Group-IB mengidentifikasi sejumlah perangkat baru yang digunakan dalam kampanye ini yaitu:

1. Reverse SSH Tunneling sebuah alat berbasis SSH yang menyamar sebagai Windows Terminal Server SDK API. Alat ini digunakan untuk membangun koneksi (reverse connection) ke infrastruktur milik pelaku pada alamat IP 172.86.98[.]113 melalui port 443.

2. Backdoor berbasis C++ yang serupa dengan TWOSTROKE sebuah program yang diimplant yang menyamar sebagai file DLL sistem wtsapi32.dll. Backdoor ini menghubungkan perangkat korban ke server C2 melalui HTTPS untuk kemudian di kendalikan, dan mampu mengeksekusi perintah seperti mengunggah/mengunduh file, menjalankan binary atau DLL, serta memodifikasi file pada sistem korban.

Taktik Penyamaran (Defense Evasion)

Nimbus Manticore diketahui menerapkan teknik penyamaran melalui DLL hijacking dan masquerading seperti:

1. Alat Reverse SSH Tunneling dikamuflasekan sebagai Windows Terminal Server SDK API.
2. Implant backdoor berbasis C++ disamarkan sebagai file DLL sistem legal, wtsapi32.dll.

Untuk komunikasi dengan server kendali, kelompok ini memanfaatkan enkripsi HTTPS melalui tiga server C2 yang sudah ditanam secara hard-coded (hard-coded C2 servers) guna menerima perintah dan menjalankan worker thread baru pada perangkat korban.

Kapabilitas Backdoor 

Berdasarkan analisis terhadap perintah-perintah yang diterima dari server C2, backdoor milik Nimbus Manticore memiliki sejumlah kapabilitas:

1. Upload dan mengunduh file.
2. Eksekusi biner atau DLL secara arbitrer (sesuai perintah C2).
3. Mengumpulkan informasi terkait perangkat/host korban.
4. Enumerasi direktori.
5. Menghapus file tertentu pada sistem yang dikendalikan

Spionase Siber Berbasis Negara

Group-IB menilai serangan ini didasari oleh motif espionase siber yang bersifat state-sponsored, dengan tujuan mengumpulkan intelijen sensitif dari target-target di sektor strategis seperti pertahanan, kedirgantaraan, penyedia layanan IT, dan militer.

Temuan yang Saling Menguatkan

Analisis terbaru dari Group-IB ini memperkuat laporan yang sebelumnya dipublikasikan oleh Kaspersky, yang juga telah mengidentifikasi penggunaan backdoor NightLedger serta WebSocket tunneler BridgeHead dan ArcBridge oleh kelompok Nimbus Manticore. Kesesuaian temuan dari dua lembaga riset keamanan siber berbeda ini memperkuat validitas indikasi bahwa kelompok tersebut terus mengembangkan dan memperluas infrastruktur serangannya.

Baca Juga Tentang: Iran-VoidManticore  NimbusManticore-Ddos-Global  Dynamic Link Library  C++ primitive memory disclosure 

Benediktus Sava - Security Researcher

Sumber: Group-IB SecureList

Kelompok Peretas Berbahasa Mandarin Diduga Lancarkan Operasi Mata-Mata Siber ke Lembaga Pemerintah di Asia Tengah dan Suriah - Ethical Hacking Indonesia

Serangan siber bermotif spionase (cyber-espionage) tengah menargetkan lembaga dan organisasi pemerintah di kawasan Asia Tengah serta Suriah. Temuan ini diungkap dalam laporan keamanan siber terbaru dari perusahaan riset keamanan Kaspersky, yang mengidentifikasi penggunaan sejumlah perangkat malware baru dengan tingkat kerahasiaan tinggi.

Target Serangan

Berdasarkan laporan tersebut, negara-negara yang menjadi sasaran utama meliputi Afghanistan, Kirgistan, Tajikistan, Uzbekistan, Kazakhstan, dan Republik Arab Suriah. Sektor-sektor yang disusupi mencakup kementerian luar negeri, lembaga penegak hukum, kantor pemerintahan, layanan kesehatan, lembaga pendidikan negeri, organisasi riset, sektor logistik, hingga instansi perencanaan tata kota dan pengelolaan fasilitas.

Luasnya cakupan sektor yang disasar menunjukkan pola operasi intelijen yang sistematis, dengan fokus pada institusi-institusi strategis milik negara. Diduga Kuat Dilakukan Kelompok Berbahasa Mandarin

Kaspersky menyatakan dengan tingkat keyakinan sedang (karena atribusi ditemukan menggunakan bahasa mandarin) bahwa pelaku di balik kampanye ini adalah kelompok peretas berbahasa Mandarin atau diduga peretas dari negara China. Meski demikian, hingga laporan ini dipublikasikan, aktivitas tersebut belum dapat dikaitkan dengan kelompok Advanced Persistent Threat (APT) tertentu yang sudah memiliki nama resmi, seperti APT41 atau Mustang Panda.

OctLurk, SilkLurk, dan LurkProxy

Para peneliti Kaspersky mengidentifikasi tiga alat utama yang digunakan dalam kampanye ini:

1. OctLurk dan SilkLurk - dua backdoor baru yang sangat terenkripsi dan beroperasi langsung di memori komputer (in-memory execution), sehingga sulit dideteksi oleh perangkat antivirus konvensional yang mengandalkan pemindaian berbasis file.
2. LurkProxy - alat yang digunakan untuk memproksi sekaligus menyembunyikan lalu lintas jaringan milik penyerang.

Salah satu ciri khas dari malware ini adalah teknik enkripsi yang terikat pada perangkat korban (hardware-bound encryption). Loader malware menggunakan informasi unik dari perangkat yang disusupi, seperti nomor seri drive C: atau nama komputer, sebagai bagian dari kunci dekripsi. Jadi sampel dari malware tidak dapat dijalankan atau dianalisis di luar komputer korban aslinya teknik yang sengaja dibuat untuk mempersulit kerja analis keamanan maupun sistem sandbox.

Cara Peretas atau Aktor Menyusup

Menurut laporan Kaspersky, penyerang tidak mengandalkan eksploitasi celah keamanan zero-day yang rumit mereka memanfaatkan kredensial administrator yang diduga telah bocor atau diperoleh sebelumnya untuk masuk ke jaringan internal korban. 

Setelah mendapatkan akses, penyerang membuat scheduled task bernama GoogleUpDate nama yang sengaja dibuat menyerupai layanan pembaruan Google agar tidak menimbulkan kecurigaan yang dikonfigurasi untuk berjalan satu kali dengan hak akses tertinggi (SYSTEM).

Tahapan teknis yang tercatat dalam laporan meliputi:

1. Scheduled task menjalankan skrip batch di direktori C:\Users\<username>\Videos\1.bat.
2. Skrip tersebut mendaftarkan Windows Service baru bernama NgcCIntSvc, yang memuat DLL loader oleasapi.dll.
3. Untuk penyebaran LurkProxy, penyerang lebih dulu memeriksa konektivitas ke domain dns[.]ssentialserv[.]xyz (IP: 154.196.162.76), kemudian menjalankan skrip C:\Users\[username]\Desktop\auto.bat yang mendaftarkan service Cusrxsrv dengan DLL msbasesysdc.dll.
4. Penyerang juga tercatat menggunakan sejumlah nama service samaran lain, seperti specitsrc, cmtastsvc, PNRPHostSvc, vmictimerosync, dan vmicagent, untuk menyamarkan keberadaan loader malware.

Payload backdoor kemudian didekripsi melalui mekanisme Double-XOR yang dikombinasikan dengan kompresi zlib, sebelum disuntikkan langsung ke memori (reflective DLL injection) dengan cara ini proses yang terjadi tidak tercatat dalam perubahan disk.

Komunikasi dengan Command Server (C2)

Backdoor yang berhasil aktif akan membuka koneksi ke server command-and-control (C2), salah satu contohnya adalah domain dns[.]multitoconference[.]com melalui port 443. Pada tahap awal koneksi, malware mengumpulkan data dasar dari perangkat korban, termasuk versi sistem operasi, nama komputer, nama pengguna, alamat IP lokal, serta waktu yang digunakan oleh sistem.

Seluruh komunikasi data ke server C2 disamarkan melalui enkripsi berganda: kompresi zlib, enkripsi Double-XOR dengan kombinasi kunci statis dan kunci acak sepanjang 83 byte per paket, ditambah padding acak 14–41 byte di bagian akhir paket untuk mengelabui analisis lalu lintas jaringan berbasis ukuran paket.

Kemampuan Setelah Infiltrasi

Setelah backdoor aktif, penyerang dapat mengunduh berbagai modul plugin tambahan secara dinamis dari server C2, tanpa menyimpannya di disk. Kemampuan yang tersedia antara lain:

1. File Manager - pencarian, penyalinan, penghapusan, serta pengunduhan/pengunggahan file, termasuk kemampuan memanipulasi timestamp file (timestomping).
2. Command Shell - menjalankan perintah sistem melalui cmd.exe secara tersembunyi.
3. Interaction Manager - mengambil tangkapan layar (screenshot) dalam format BMP, membaca serta menulis data clipboard, hingga menyintesis pergerakan mouse dan penekanan tombol keyboard.

Selain itu, penyerang menjalankan skrip pengintaian bernama in.bat melalui hak akses SYSTEM untuk mengumpulkan informasi sistem secara menyeluruh mulai dari konfigurasi jaringan, daftar pengguna dan hak akses, proses yang berjalan, hingga daftar scheduled task yang terpasang. Seluruh hasil pengintaian ini disimpan sementara dalam file seperti info.txt, <hostname>.datb, dan <hostname>_logs.datb, sebelum dikompresi, dienkripsi, dan dikirim (dieksfiltrasi) ke server C2 penyerang.

Data yang berhasil dicuri dari korban mencakup kata sandi tersimpan di browser, riwayat email, isi clipboard, hasil keylogging, serta kredensial jaringan.

Mengapa Serangan Ini Bisa Berhasil

Kaspersky menyimpulkan bahwa keberhasilan serangan ini karena celah dalam manajemen keamanan internal korban, di antaranya:

1. Kredensial administrator yang telah bocor sebelum serangan dimulai, memungkinkan pergerakan lateral yang leluasa di dalam jaringan.
2. Penyalahgunaan fitur bawaan Windows yang sah (living off the land), seperti pembuatan scheduled task melalui perintah resmi schtasks, dengan nama yang tampak legitimate sehingga lolos dari kecurigaan sistem keamanan.
3. Pendaftaran Windows Service palsu untuk memuat DLL berbahaya, yang luput dari pengawasan karena minimnya audit terhadap registri service baru.
4. Penyimpanan skrip eksekusi di direktori yang mudah diakses publik, seperti folder Videos dan Temp.

Titik Lemah yang Membuka Peluang Deteksi

Meski dirancang dengan tingkat kerahasiaan tinggi, aktivitas penyerang tetap meninggalkan sejumlah jejak yang dapat dikenali oleh sistem pemantauan keamanan, antara lain:

1. Pola anomali pada pembuatan scheduled task "GoogleUpDate" yang dikonfigurasi hanya berjalan satu kali.
2. Eksekusi skrip .bat dari direktori yang tidak lazim digunakan untuk keperluan administratif, seperti folder Videos dan Temp.
3. Pembuatan file sementara dengan pola nama acak (tmp%d%x.tmp) saat eksekusi perintah shell, yang dapat terdeteksi oleh sistem Endpoint Detection and Response (EDR).
4. Lalu lintas jaringan mencurigakan menuju domain-domain eksternal seperti dns[.]ssentialserv[.]xyz dan dns[.]multitoconference[.]com melalui port 443.

Baca Juga Tentang: Spionase-Menggunakan-Malware-PlugX Serangan-Spionase-China-Menggunakan-CL-STA-1087 Spionase-Menggunakan-Zero-Day Spionase-TGR-STA-1030 Dll-Injection-UAC-0057-OYSTER Spionase-UTA0388-GOVERSHELL

Benediktus Sava - Security Researcher

Sumber: Github-Sign Securelist Kazakhstan’s State Technical Service (STS)  Kaspersky