Serangan siber bermotif spionase (cyber-espionage) tengah menargetkan lembaga dan organisasi pemerintah di kawasan Asia Tengah serta Suriah. Temuan ini diungkap dalam laporan keamanan siber terbaru dari perusahaan riset keamanan Kaspersky, yang mengidentifikasi penggunaan sejumlah perangkat malware baru dengan tingkat kerahasiaan tinggi.
Target Serangan
Berdasarkan laporan tersebut, negara-negara yang menjadi sasaran utama meliputi Afghanistan, Kirgistan, Tajikistan, Uzbekistan, Kazakhstan, dan Republik Arab Suriah. Sektor-sektor yang disusupi mencakup kementerian luar negeri, lembaga penegak hukum, kantor pemerintahan, layanan kesehatan, lembaga pendidikan negeri, organisasi riset, sektor logistik, hingga instansi perencanaan tata kota dan pengelolaan fasilitas.
Luasnya cakupan sektor yang disasar menunjukkan pola operasi intelijen yang sistematis, dengan fokus pada institusi-institusi strategis milik negara. Diduga Kuat Dilakukan Kelompok Berbahasa Mandarin
Kaspersky menyatakan dengan tingkat keyakinan sedang (karena atribusi ditemukan menggunakan bahasa mandarin) bahwa pelaku di balik kampanye ini adalah kelompok peretas berbahasa Mandarin atau diduga peretas dari negara China. Meski demikian, hingga laporan ini dipublikasikan, aktivitas tersebut belum dapat dikaitkan dengan kelompok Advanced Persistent Threat (APT) tertentu yang sudah memiliki nama resmi, seperti APT41 atau Mustang Panda.
OctLurk, SilkLurk, dan LurkProxy
Para peneliti Kaspersky mengidentifikasi tiga alat utama yang digunakan dalam kampanye ini:
- OctLurk dan SilkLurk - dua backdoor baru yang sangat terenkripsi dan beroperasi langsung di memori komputer (in-memory execution), sehingga sulit dideteksi oleh perangkat antivirus konvensional yang mengandalkan pemindaian berbasis file.
- LurkProxy - alat yang digunakan untuk memproksi sekaligus menyembunyikan lalu lintas jaringan milik penyerang.
Salah satu ciri khas dari malware ini adalah teknik enkripsi yang terikat pada perangkat korban (hardware-bound encryption). Loader malware menggunakan informasi unik dari perangkat yang disusupi, seperti nomor seri drive C: atau nama komputer, sebagai bagian dari kunci dekripsi. Jadi sampel dari malware tidak dapat dijalankan atau dianalisis di luar komputer korban aslinya teknik yang sengaja dibuat untuk mempersulit kerja analis keamanan maupun sistem sandbox.
Cara Peretas atau Aktor Menyusup
Menurut laporan Kaspersky, penyerang tidak mengandalkan eksploitasi celah keamanan zero-day yang rumit mereka memanfaatkan kredensial administrator yang diduga telah bocor atau diperoleh sebelumnya untuk masuk ke jaringan internal korban.
Setelah mendapatkan akses, penyerang membuat scheduled task bernama GoogleUpDate nama yang sengaja dibuat menyerupai layanan pembaruan Google agar tidak menimbulkan kecurigaan yang dikonfigurasi untuk berjalan satu kali dengan hak akses tertinggi (SYSTEM).
Tahapan teknis yang tercatat dalam laporan meliputi:
- Scheduled task menjalankan skrip batch di direktori C:\Users\<username>\Videos\1.bat.
- Skrip tersebut mendaftarkan Windows Service baru bernama NgcCIntSvc, yang memuat DLL loader oleasapi.dll.
- Untuk penyebaran LurkProxy, penyerang lebih dulu memeriksa konektivitas ke domain dns[.]ssentialserv[.]xyz (IP: 154.196.162.76), kemudian menjalankan skrip C:\Users\[username]\Desktop\auto.bat yang mendaftarkan service Cusrxsrv dengan DLL msbasesysdc.dll.
- Penyerang juga tercatat menggunakan sejumlah nama service samaran lain, seperti specitsrc, cmtastsvc, PNRPHostSvc, vmictimerosync, dan vmicagent, untuk menyamarkan keberadaan loader malware.
Payload backdoor kemudian didekripsi melalui mekanisme Double-XOR yang dikombinasikan dengan kompresi zlib, sebelum disuntikkan langsung ke memori (reflective DLL injection) dengan cara ini proses yang terjadi tidak tercatat dalam perubahan disk.
Komunikasi dengan Command Server (C2)
Backdoor yang berhasil aktif akan membuka koneksi ke server command-and-control (C2), salah satu contohnya adalah domain dns[.]multitoconference[.]com melalui port 443. Pada tahap awal koneksi, malware mengumpulkan data dasar dari perangkat korban, termasuk versi sistem operasi, nama komputer, nama pengguna, alamat IP lokal, serta waktu yang digunakan oleh sistem.
Seluruh komunikasi data ke server C2 disamarkan melalui enkripsi berganda: kompresi zlib, enkripsi Double-XOR dengan kombinasi kunci statis dan kunci acak sepanjang 83 byte per paket, ditambah padding acak 14–41 byte di bagian akhir paket untuk mengelabui analisis lalu lintas jaringan berbasis ukuran paket.
Kemampuan Setelah Infiltrasi
Setelah backdoor aktif, penyerang dapat mengunduh berbagai modul plugin tambahan secara dinamis dari server C2, tanpa menyimpannya di disk. Kemampuan yang tersedia antara lain:
- File Manager - pencarian, penyalinan, penghapusan, serta pengunduhan/pengunggahan file, termasuk kemampuan memanipulasi timestamp file (timestomping).
- Command Shell - menjalankan perintah sistem melalui cmd.exe secara tersembunyi.
- Interaction Manager - mengambil tangkapan layar (screenshot) dalam format BMP, membaca serta menulis data clipboard, hingga menyintesis pergerakan mouse dan penekanan tombol keyboard.
Selain itu, penyerang menjalankan skrip pengintaian bernama in.bat melalui hak akses SYSTEM untuk mengumpulkan informasi sistem secara menyeluruh mulai dari konfigurasi jaringan, daftar pengguna dan hak akses, proses yang berjalan, hingga daftar scheduled task yang terpasang. Seluruh hasil pengintaian ini disimpan sementara dalam file seperti info.txt, <hostname>.datb, dan <hostname>_logs.datb, sebelum dikompresi, dienkripsi, dan dikirim (dieksfiltrasi) ke server C2 penyerang.
Data yang berhasil dicuri dari korban mencakup kata sandi tersimpan di browser, riwayat email, isi clipboard, hasil keylogging, serta kredensial jaringan.
Mengapa Serangan Ini Bisa Berhasil
Kaspersky menyimpulkan bahwa keberhasilan serangan ini karena celah dalam manajemen keamanan internal korban, di antaranya:
- Kredensial administrator yang telah bocor sebelum serangan dimulai, memungkinkan pergerakan lateral yang leluasa di dalam jaringan.
- Penyalahgunaan fitur bawaan Windows yang sah (living off the land), seperti pembuatan scheduled task melalui perintah resmi schtasks, dengan nama yang tampak legitimate sehingga lolos dari kecurigaan sistem keamanan.
- Pendaftaran Windows Service palsu untuk memuat DLL berbahaya, yang luput dari pengawasan karena minimnya audit terhadap registri service baru.
- Penyimpanan skrip eksekusi di direktori yang mudah diakses publik, seperti folder Videos dan Temp.
Titik Lemah yang Membuka Peluang Deteksi
Meski dirancang dengan tingkat kerahasiaan tinggi, aktivitas penyerang tetap meninggalkan sejumlah jejak yang dapat dikenali oleh sistem pemantauan keamanan, antara lain:
- Pola anomali pada pembuatan scheduled task "GoogleUpDate" yang dikonfigurasi hanya berjalan satu kali.
- Eksekusi skrip .bat dari direktori yang tidak lazim digunakan untuk keperluan administratif, seperti folder Videos dan Temp.
- Pembuatan file sementara dengan pola nama acak (tmp%d%x.tmp) saat eksekusi perintah shell, yang dapat terdeteksi oleh sistem Endpoint Detection and Response (EDR).
- Lalu lintas jaringan mencurigakan menuju domain-domain eksternal seperti dns[.]ssentialserv[.]xyz dan dns[.]multitoconference[.]com melalui port 443.
Benediktus Sava - Security Researcher
