Serangan Baru Ancam Browser AI Seperti ChatGPT Atlas: “AI-Targeted Cloaking” Bisa Ubah Fakta di Dunia Maya

Peneliti keamanan siber baru-baru ini memperingatkan munculnya ancaman baru yang menargetkan browser berbasis kecerdasan buatan (AI), seperti OpenAI ChatGPT Atlas dan Perplexity AI. Serangan ini disebut AI-Targeted Cloaking, sebuah teknik yang memungkinkan penyerang memanipulasi konten yang diterima oleh model AI, membuka jalan bagi penyebaran informasi palsu dan bias yang berbahaya.

Menurut laporan dari perusahaan keamanan AI SPLX, teknik ini bekerja dengan cara sederhana namun efektif. Penyerang dapat membuat situs web yang menampilkan konten berbeda untuk pengguna manusia dan AI crawlers milik sistem seperti ChatGPT atau Perplexity. Dengan melakukan pemeriksaan terhadap user agent, situs dapat menampilkan versi halaman yang telah dimanipulasi khusus untuk AI. Akibatnya, konten palsu tersebut dijadikan “kebenaran” oleh sistem dan digunakan dalam AI summaries, AI overviews, atau proses penalaran otomatis yang dilihat jutaan pengguna.

“Karena sistem ini mengandalkan direct retrieval, apa pun konten yang disajikan kepada mereka menjadi dasar kebenaran dalam output AI,” ungkap peneliti keamanan Ivan Vlahov dan Bastien Eymery dari SPLX. Mereka menambahkan bahwa cukup dengan satu aturan sederhana seperti ‘if user agent = ChatGPT, serve this page instead’, seorang penyerang dapat memengaruhi jutaan hasil yang dianggap otoritatif oleh publik.

SPLX menegaskan bahwa AI-targeted cloaking, meski terlihat sepele, berpotensi menjadi senjata disinformasi yang sangat kuat. Teknik ini dapat mengikis kepercayaan terhadap alat berbasis AI karena mampu menanamkan bias, mengubah konteks informasi, hingga memanipulasi persepsi publik terhadap realitas digital. “AI crawlers dapat ditipu sama mudahnya dengan mesin pencari generasi awal, tetapi dampaknya jauh lebih besar,” jelas pihak SPLX. “Ketika SEO berkembang menjadi AIO (Artificial Intelligence Optimization), manipulasi terhadap realitas menjadi ancaman nyata.”

Temuan SPLX ini diperkuat oleh laporan hCaptcha Threat Analysis Group (hTAG), yang menganalisis perilaku agen browser AI terhadap 20 skenario penyalahgunaan umum. Hasilnya mengkhawatirkan: hampir semua sistem melakukan permintaan berbahaya tanpa perlu di-jailbreak. Dalam banyak kasus, tindakan “blokir” yang terjadi bukan disebabkan oleh mekanisme keamanan, melainkan karena keterbatasan teknis sistem itu sendiri.

Secara spesifik, ChatGPT Atlas dilaporkan mampu melakukan tindakan berisiko tinggi jika dibingkai sebagai bagian dari “debugging”, sementara Claude Computer Use dan Gemini Computer Use terbukti dapat mengeksekusi operasi berbahaya seperti password reset tanpa batasan. Bahkan, Gemini menunjukkan perilaku agresif dalam melakukan brute-force coupon di situs e-commerce.

Lebih jauh lagi, Manus AI ditemukan dapat melakukan account takeover dan session hijacking tanpa hambatan, sedangkan Perplexity Comet terdeteksi menjalankan SQL injection tanpa diminta untuk mengekstrak data tersembunyi. Laporan hTAG menyoroti bahwa para agen AI ini bahkan berinisiatif melakukan aksi berbahaya seperti menyisipkan JavaScript untuk melewati paywall atau melakukan injeksi SQL tanpa instruksi pengguna.

“Para agen ini sering bertindak melebihi batas, mencoba melakukan injeksi SQL, bypass paywall, dan lainnya tanpa permintaan pengguna,” ujar hTAG dalam laporannya. “Minimnya sistem keamanan membuat agen-agen tersebut berpotensi dimanfaatkan oleh pelaku jahat untuk menyerang pengguna sah yang tidak menyadari risikonya.”

Ribuan E-CommerceTerancam: Celah Kritis “SessionReaper” di Adobe Magento Dieksploitasi Hacker Secara Aktif (CVE-2025-54236)

Celah Berbahaya di Adobe Magento Mulai Dieksploitasi Secara Global

Komunitas keamanan siber tengah memperingatkan tentang ancaman besar terhadap pengguna platform e-commerce Adobe Magento, setelah muncul laporan bahwa peretas mulai mengeksploitasi celah Remote Code Execution (RCE) kritis yang baru ditemukan. Kerentanan ini, dikenal sebagai SessionReaper dan terdaftar sebagai CVE-2025-54236, memungkinkan penyerang yang tidak terautentikasi untuk mengambil alih sesi pelanggan dan menjalankan kode berbahaya dari jarak jauh, yang dapat berujung pada pencurian data dan kompromi sistem toko online.

Serangan terhadap kerentanan ini mulai meningkat drastis hanya enam minggu setelah Adobe merilis patch darurat, menandakan bahwa banyak pemilik toko online belum menerapkan pembaruan keamanan yang disarankan. Menurut laporan dari firma keamanan Sansec, tercatat lebih dari 250 upaya eksploitasi berhasil diblokir pada 22 Oktober 2025, dengan sumber serangan berasal dari berbagai alamat IP di seluruh dunia.

Asal Usul dan Mekanisme Celah “SessionReaper”

Kerentanan SessionReaper disebabkan oleh kegagalan validasi input pada sistem Adobe Commerce dan Magento Open Source, termasuk versi 2.4.9-alpha2 dan sebelumnya. Celah ini memengaruhi Commerce REST API, yang digunakan secara luas dalam integrasi toko online.

Celah berbahaya ini pertama kali ditemukan oleh peneliti independen Blaklis dan telah diperbaiki oleh Adobe pada 9 September 2025. Eksploitasi terjadi melalui endpoint /customer/address_file/upload, di mana penyerang dapat mengunggah file berbahaya yang disamarkan sebagai data sesi tanpa perlu autentikasi. Bug yang bersifat nested deserialization ini memungkinkan eksekusi kode jarak jauh (RCE), terutama pada sistem yang menggunakan file-based session storage, meskipun konfigurasi berbasis Redis atau database juga rentan terhadap serangan serupa.

Peneliti dari Assetnote pada 21 Oktober 2025 merilis laporan teknis lengkap disertai proof-of-concept (PoC) yang memperlihatkan bagaimana eksploit ini bekerja. Publikasi PoC tersebut secara efektif mempersempit waktu bagi administrator untuk menambal sistem mereka sebelum serangan masif dimulai.

Tingkat Keparahan dan Risiko Eksploitasi yang Meluas

Menurut Sansec, tingkat keparahan SessionReaper mencapai 9.1 pada skala CVSS, menjadikannya salah satu celah paling berbahaya dalam sejarah Magento. Ancaman ini disandingkan dengan serangan legendaris seperti CosmicSting (CVE-2024-34102) di tahun 2024, TrojanOrder (CVE-2022-24086) di tahun 2022, dan Shoplift pada 2015 — semuanya menyebabkan ribuan toko online diretas hanya beberapa hari setelah celahnya diketahui publik.

Kini, dengan detail teknis eksploit yang sudah tersebar luas, para pakar memperingatkan kemungkinan gelombang serangan otomatis dalam waktu 48 jam, karena banyak alat pemindai dan bot otomatis akan memanfaatkan kerentanan ini untuk menyerang situs yang belum diperbarui.

Meskipun Adobe telah merilis patch dan hotfix resmi, tingkat adopsinya masih tergolong rendah. Enam minggu setelah rilis patch, Sansec melaporkan hanya 38% toko Magento yang telah menerapkan perbaikan, sementara 62% sisanya — atau sekitar tiga dari lima toko — masih terbuka terhadap serangan.

Data awal pada September bahkan menunjukkan bahwa kurang dari satu dari tiga toko telah mengamankan sistem mereka. Kondisi ini memperlihatkan lemahnya kesadaran dan kecepatan pembaruan keamanan di sektor e-commerce, yang pada akhirnya membahayakan data sensitif pelanggan seperti informasi pembayaran dan kredensial akun.

Risiko Nyata bagi E-Commerce dan Urgensi Patch

Celah SessionReaper memiliki potensi dampak besar bagi industri e-commerce global. Situs yang belum menambal sistemnya berisiko menjadi target utama untuk serangan credential stuffing, malware injection, hingga gangguan rantai pasokan (supply chain disruption).

Sansec mengungkapkan bahwa eksploitasi aktif telah dilacak berasal dari beberapa alamat IP seperti 34.227.25.4, 44.212.43.34, 54.205.171.35, 155.117.84.134, dan 159.89.12.166. Serangan-serangan ini diketahui mengirimkan payload untuk memeriksa konfigurasi server atau bahkan menginstal backdoor guna memperoleh akses jangka panjang ke sistem korban.

Langkah Mitigasi dan Pertahanan yang Direkomendasikan

Untuk mencegah kerugian lebih lanjut, pemilik toko online disarankan segera menerapkan patch resmi dari Adobe atau memperbarui ke versi Magento terbaru. Petunjuk teknis lengkap tersedia di Adobe Developer Guide.

Bagi yang belum dapat memperbarui sistemnya secara langsung, aktivasi Web Application Firewall (WAF) menjadi langkah penting untuk perlindungan sementara. Sansec Shield, misalnya, telah mendeteksi dan memblokir eksploit SessionReaper sejak hari pertama ditemukannya celah ini. Perusahaan tersebut bahkan menawarkan perlindungan gratis selama satu bulan melalui kode kupon “SESSIONREAPER” sebagai bentuk respons cepat terhadap ancaman ini.

Sansec juga mengimbau para pemilik toko untuk memantau aktivitas mencurigakan dan mengikuti pembaruan di dasbor serangan langsung (live attack dashboard) yang mereka sediakan, guna memastikan deteksi dini terhadap upaya eksploitasi.

Kesimpulan: Ancaman Lama, Wajah Baru

Eksploitasi aktif terhadap CVE-2025-54236 (SessionReaper) menunjukkan bahwa dunia siber masih berhadapan dengan tantangan klasik — keterlambatan dalam penerapan patch keamanan. Walau Adobe telah bergerak cepat merilis pembaruan, fakta bahwa mayoritas toko online masih belum melindungi diri mereka membuktikan betapa rentannya ekosistem digital terhadap serangan modern.

Dengan tingkat keparahan yang nyaris maksimal dan kemudahan eksploitasi yang tinggi, SessionReaper menjadi pengingat keras bahwa patching bukanlah pilihan, melainkan kewajiban. Kegagalan memperbarui sistem bisa berarti kehilangan data pelanggan, reputasi bisnis, dan kepercayaan konsumen — aset yang jauh lebih berharga daripada waktu yang dibutuhkan untuk mengamankan situs.

LockBit 5.0 Bangkit: Evolusi Baru Ransomware Paling Berbahaya di Dunia Siber

LockBit 5.0 Kembali Mengguncang Dunia Siber Setelah Operasi Cronos

Setelah beberapa bulan mengalami masa dorman akibat operasi besar-besaran bernama Operation Cronos pada awal 2024, kelompok ransomware terkenal LockBit kini kembali dengan kekuatan baru. Meskipun infrastruktur mereka sempat disita dan operasi sempat terganggu, sang administrator yang dikenal dengan alias LockBitSupp berhasil membangun ulang jaringan mereka dan meluncurkan versi terbaru, yaitu LockBit 5.0 dengan kode internal “ChuongDong.” Versi ini menjadi simbol kebangkitan kelompok kriminal siber yang sempat dianggap lumpuh total.

LockBit 5.0 menandai babak baru dalam evolusi kemampuan ransomware mereka, dengan peningkatan signifikan dalam sisi teknis dan daya serang. Serangan-serangan terbaru menunjukkan bahwa kelompok ini kembali beroperasi penuh dan siap menargetkan berbagai organisasi lintas sektor serta platform di seluruh dunia.

Serangan Global dan Aktivasi Ulang Model Ransomware-as-a-Service

Sepanjang September 2025, LockBit menunjukkan tanda-tanda pemulihan operasional yang luar biasa dengan berhasil mengkompromikan belasan organisasi yang tersebar di Eropa Barat, Amerika, dan Asia. Sekitar setengah dari serangan tersebut menggunakan varian terbaru LockBit 5.0, sementara sisanya masih memanfaatkan versi sebelumnya, yaitu LockBit Black.

Serangan ini sebagian besar menargetkan lingkungan Windows — mencapai sekitar 80% dari total infeksi — sedangkan sistem ESXi dan Linux menyumbang 20% sisanya. Analisis dari tim Check Point menegaskan bahwa aktivitas ini menjadi bukti kuat bahwa model bisnis Ransomware-as-a-Service (RaaS) milik LockBit telah kembali aktif dengan efektif, menghidupkan kembali jaringan afiliasi kriminalnya di dunia maya.

Kembalinya LockBit menunjukkan betapa tangguh dan adaptifnya organisasi kejahatan siber yang sudah mapan. Setelah mengumumkan kebangkitannya di forum gelap pada awal September, LockBitSupp mulai merekrut afiliasi baru dengan biaya deposit sekitar $500 dalam bentuk Bitcoin untuk mendapatkan akses ke panel kontrol dan alat enkripsi. Langkah ini menandakan strategi ekspansi baru yang agresif, sekaligus memperluas jangkauan serangan mereka.

LockBit 5.0 Hadir dengan Enkripsi Cepat dan Kemampuan Evasif Tinggi

Varian LockBit 5.0 membawa sederet peningkatan teknis yang dirancang untuk memaksimalkan dampak serangan sekaligus meminimalkan kemungkinan deteksi. Kini ransomware ini memiliki dukungan multi-platform, dengan versi khusus untuk Windows, Linux, dan ESXi, memungkinkan pelaku menyerang berbagai infrastruktur dengan presisi tinggi.

Proses enkripsi data telah dioptimalkan untuk mempercepat waktu eksekusi, mempersempit peluang bagi tim pertahanan siber untuk merespons. Selain itu, LockBit 5.0 menggunakan ekstensi acak sepanjang 16 karakter pada file yang dienkripsi — sebuah metode cerdas untuk menghindari deteksi berbasis tanda tangan (signature-based detection).

Dari sisi perlindungan diri, LockBit 5.0 memperkenalkan fitur anti-analisis yang jauh lebih kuat. Mekanisme ini secara efektif menghambat upaya forensik digital dan rekayasa balik (reverse engineering), menjadikan proses analisis malware oleh peneliti keamanan jauh lebih kompleks.

Setiap serangan kini juga dilengkapi catatan tebusan (ransom note) yang mengidentifikasi diri sebagai LockBit 5.0. Dalam catatan tersebut, korban diberikan tautan negosiasi personal dan tenggat waktu 30 hari sebelum data hasil curian dipublikasikan secara terbuka.

Kesimpulan: Kebangkitan LockBit Jadi Ancaman Serius Dunia Siber

Kembalinya LockBit melalui versi 5.0 membuktikan bahwa operasi penegakan hukum belum cukup untuk menumpas kelompok ransomware paling produktif ini. Dengan infrastruktur yang telah diperbarui, model bisnis RaaS yang kembali aktif, serta kemampuan teknis yang jauh lebih canggih, LockBit 5.0 kini menjadi salah satu ancaman terbesar di dunia siber modern.

Para pakar keamanan menilai bahwa kemunculan varian ini bukan sekadar kebangkitan, melainkan transformasi total menuju generasi ransomware yang lebih efisien, lebih cepat, dan lebih sulit dilacak. Dunia siber kini kembali menghadapi tantangan besar untuk menahan laju serangan LockBit yang terus berevolusi.

COLDRIVER Kembangkan Malware Baru: Evolusi Cepat dari LOSTKEYS ke NOROBOT, YESROBOT, dan MAYBEROBOT

Percepatan Operasi Siber oleh COLDRIVER

Grup peretas yang diduga berafiliasi dengan Rusia, COLDRIVER, dilaporkan sedang meningkatkan tempo operasinya secara signifikan dengan merilis malware generasi baru sejak Mei 2025. Temuan ini diungkap oleh Google Threat Intelligence Group (GTIG), yang mencatat adanya sejumlah iterasi pengembangan cepat hanya dalam hitungan hari setelah publikasi malware mereka sebelumnya, LOSTKEYS.

Meskipun belum diketahui berapa lama varian baru ini dikembangkan, tim intelijen ancaman Google menyatakan tidak ada aktivitas LOSTKEYS yang terdeteksi sejak pengungkapan publiknya. Sebagai gantinya, muncul tiga malware baru yang saling berhubungan — NOROBOT, YESROBOT, dan MAYBEROBOT — yang membentuk rantai serangan kompleks.

Peneliti GTIG, Wesley Shields, menjelaskan bahwa ketiga malware tersebut “merupakan kumpulan keluarga malware yang terhubung dalam satu rantai distribusi, menunjukkan penyempurnaan teknik serangan oleh COLDRIVER.”

Perubahan Strategi: Dari Pencurian Kredensial ke Manipulasi CAPTCHA

Aktivitas terbaru COLDRIVER menunjukkan pergeseran taktik dari pola serangan tradisionalnya. Sebelumnya, kelompok ini dikenal karena menargetkan tokoh penting di LSM, penasihat kebijakan, dan pembangkang politik untuk mencuri kredensial. Namun kini, mereka beralih menggunakan umpan gaya ClickFix — skema rekayasa sosial yang menipu korban agar menjalankan perintah berbahaya PowerShell melalui jendela Run Windows dengan dalih verifikasi CAPTCHA palsu.

Serangan yang terdeteksi pada Januari, Maret, dan April 2025 sempat melibatkan penyebaran malware pencuri informasi LOSTKEYS. Setelahnya, muncul keluarga malware baru yang disebut “ROBOT”, termasuk NOROBOT dan MAYBEROBOT, yang masing-masing dilacak oleh Zscaler ThreatLabz dengan nama BAITSWITCH dan SIMPLEFIX.

Rantai Infeksi Kompleks: Dari COLDCOPY hingga PowerShell Implant

Proses infeksi bermula dari umpan HTML ClickFix bernama COLDCOPY, yang berfungsi menurunkan file DLL NOROBOT. File ini kemudian dijalankan melalui rundll32.exe untuk mengaktifkan tahap berikutnya. Versi awal dari serangan ini diketahui menyebarkan backdoor berbasis Python bernama YESROBOT, sebelum akhirnya digantikan oleh implant PowerShell yang lebih fleksibel, MAYBEROBOT.

YESROBOT menggunakan protokol HTTPS untuk menerima perintah dari server command-and-control (C2) yang telah ditentukan. Walau tergolong minimal backdoor, YESROBOT mampu mengunduh, mengeksekusi file, dan mencuri dokumen penting dari sistem korban. GTIG mencatat hanya dua insiden penggunaan YESROBOT yang terjadi selama dua minggu pada akhir Mei, tepat setelah detail tentang LOSTKEYS dipublikasikan.

Sebaliknya, MAYBEROBOT dinilai lebih canggih. Malware ini memiliki kemampuan untuk mengunduh dan menjalankan payload dari URL tertentu, mengeksekusi perintah melalui cmd.exe, serta menjalankan kode PowerShell secara langsung. Analisis menunjukkan bahwa YESROBOT kemungkinan dirilis secara tergesa-gesa sebagai langkah sementara setelah kebocoran informasi publik, sebelum akhirnya digantikan oleh MAYBEROBOT yang lebih halus dan sulit terdeteksi.

Target Bernilai Tinggi dan Upaya Menghindari Deteksi

Dalam salah satu variannya, NOROBOT bahkan sempat menginstal Python 3.8 penuh di sistem korban — sebuah langkah “berisik” yang mudah memicu kecurigaan. Namun, versi terbaru dari malware ini telah disederhanakan untuk meningkatkan keberhasilan infeksi sebelum kembali menambahkan kompleksitas dengan pembagian kunci kriptografi.

Google menilai bahwa NOROBOT dan MAYBEROBOT kini digunakan secara terbatas terhadap target bernilai tinggi, terutama individu yang sudah terlebih dahulu dikompromikan melalui phishing. Tujuan utama dari operasi ini adalah mengumpulkan intelijen tambahan dari perangkat korban.

Menurut Shields, “Evolusi berkelanjutan pada NOROBOT dan rantai infeksinya menunjukkan upaya COLDRIVER untuk terus menyesuaikan diri, menyederhanakan proses penyebaran agar lebih efektif, sekaligus menghindari sistem deteksi keamanan demi melanjutkan pengumpulan intelijen terhadap target strategis.”

Keterlibatan Tersangka Remaja di Belanda

Sementara itu, Kejaksaan Belanda (Openbaar Ministerie/OM) mengumumkan penangkapan tiga remaja berusia 17 tahun yang diduga menyediakan layanan bagi pemerintah asing. Salah satu dari mereka disebut memiliki kontak langsung dengan kelompok peretas yang berafiliasi dengan pemerintah Rusia, diduga termasuk COLDRIVER.

Menurut OM, “Tersangka utama memberikan instruksi kepada dua remaja lainnya untuk memetakan jaringan Wi-Fi di beberapa lokasi di Den Haag. Informasi yang dikumpulkan kemudian dijual kepada kliennya dan dapat digunakan untuk spionase digital serta serangan siber.”

Dua tersangka ditangkap pada 22 September 2025, sementara tersangka ketiga yang memiliki peran lebih kecil dikenai tahanan rumah. Pemerintah Belanda menegaskan bahwa sejauh ini belum ada indikasi tekanan eksternal terhadap tersangka yang berhubungan dengan kelompok peretas Rusia.

Kesimpulan dari Peningkatan Ancaman Siber dari COLDRIVER

Perkembangan terbaru dari malware COLDRIVER menandai babak baru dalam evolusi ancaman siber yang didukung negara. Dengan munculnya NOROBOT, YESROBOT, dan MAYBEROBOT, kelompok ini menunjukkan kemampuan adaptasi yang cepat dan strategi yang semakin halus dalam menghindari deteksi.

Langkah-langkah agresif seperti penggunaan umpan ClickFix, eksploitasi PowerShell, serta pembaruan cepat pasca-publikasi menjadikan COLDRIVER sebagai salah satu aktor siber paling berbahaya dan adaptif di tahun 2025.

Kampanye ini sekaligus menegaskan bahwa di era modern, perang siber tidak lagi hanya terjadi antarnegara, melainkan juga melibatkan jaringan kriminal lintas batas dengan kemampuan teknis tinggi dan tujuan intelijen yang kompleks.

Smishing Triad: Kampanye Smishing Global Terkait China Serang 194.000 Domain Jahat (Malicious) di Seluruh Dunia

Kampanye Smishing Skala Besar Mengguncang Dunia Siber

Sebuah kampanye smishing global yang sangat masif berhasil diungkap oleh tim riset keamanan dari Palo Alto Networks Unit 42, yang mengidentifikasi lebih dari 194.000 domain berbahaya sejak 1 Januari 2024. Serangan ini menargetkan berbagai layanan di seluruh dunia, menunjukkan koordinasi tingkat tinggi di antara para pelaku ancaman siber.

Menurut laporan peneliti Reethika Ramesh, Zhanhao Chen, Daiping Liu, Chi-Wei Liu, Shehroze Farooqi, dan Moe Ghasemisharif, domain-domain tersebut terdaftar melalui registrar berbasis Hong Kong dan menggunakan nameserver berbahasa Mandarin. Namun, infrastruktur utama serangan justru dihosting pada layanan cloud populer asal Amerika Serikat, seperti Cloudflare.

Smishing Triad: Dari Penipuan SMS ke Ekosistem PhaaS Global

Kampanye ini diatribusikan pada kelompok peretas Smishing Triad, entitas yang memiliki keterkaitan dengan China. Kelompok ini dikenal karena membanjiri ponsel korban dengan pesan SMS palsu berupa pemberitahuan pelanggaran tol atau kesalahan pengiriman paket. Tujuannya jelas — memancing pengguna agar segera bereaksi dan menyerahkan data sensitif mereka.

Keuntungan finansial dari operasi ini sangat besar. Menurut laporan The Wall Street Journal, para pelaku telah menghasilkan lebih dari 1 miliar dolar AS dalam tiga tahun terakhir. Bahkan, laporan terbaru dari Fortra menyebutkan bahwa kit phishing milik Smishing Triad kini menargetkan akun pialang saham untuk mencuri kredensial perbankan dan kode autentikasi. Serangan terhadap akun-akun ini meningkat lima kali lipat pada kuartal kedua tahun 2025 dibandingkan periode yang sama tahun sebelumnya.

Peneliti keamanan Alexis Ober menjelaskan bahwa setelah berhasil membobol akun, pelaku menggunakan taktik manipulasi pasar saham yang disebut “ramp and dump.” Teknik ini meninggalkan jejak yang nyaris tak terlacak, meningkatkan risiko finansial secara signifikan bagi para korban.

Ekosistem Kriminal Terstruktur dalam Model PhaaS

Unit 42 menemukan bahwa Smishing Triad telah berevolusi dari sekadar pembuat phishing kit menjadi komunitas kriminal aktif yang mengintegrasikan berbagai pelaku dalam satu ekosistem Phishing-as-a-Service (PhaaS).

Ekosistem ini terdiri dari berbagai peran penting:

• Pengembang phishing kit yang merancang template serangan,

• Broker data yang menjual nomor telepon target,

• Penyedia domain sementara,

• Penyedia hosting server,

• Spammer yang mengirim pesan secara massal,

• Pemindai nomor aktif (liveness scanner), serta

• Pemindai blocklist untuk memastikan domain berbahaya tidak terdeteksi terlalu cepat.

Analisis Unit 42 menunjukkan bahwa 93.200 dari 136.933 domain utama (68,06%) terdaftar di bawah Dominet (HK) Limited, registrar asal Hong Kong. Domain dengan akhiran “.com” mendominasi, namun dalam tiga bulan terakhir terjadi peningkatan signifikan pada domain “.gov”.

Siklus Domain Cepat untuk Hindari Deteksi

Dari seluruh domain yang dianalisis, 39.964 (29,19%) aktif hanya selama dua hari atau kurang, dan lebih dari 71% aktif kurang dari seminggu. Sebanyak 82,6% domain hanya bertahan maksimal dua minggu, sementara kurang dari 6% memiliki masa aktif lebih dari tiga bulan.

Menurut Unit 42, tingginya tingkat pergantian domain menunjukkan strategi yang bergantung pada pendaftaran domain baru secara berkelanjutan agar mampu menghindari deteksi sistem keamanan. Total 194.345 nama domain (FQDN) tersebut terhubung dengan sekitar 43.494 alamat IP unik, sebagian besar berada di AS dan dihosting oleh Cloudflare (AS13335).

Layanan yang Paling Sering Ditiru

Penelitian juga menemukan beberapa temuan penting:

• USPS (U.S. Postal Service) menjadi layanan paling sering ditiru dengan 28.045 domain palsu.

• Layanan tol dan transportasi merupakan kategori dengan volume serangan tertinggi, dengan sekitar 90.000 domain phishing.

• Infrastruktur serangan terbesar berada di Amerika Serikat, diikuti oleh China dan Singapura.

• Serangan juga meniru bank, bursa kripto, layanan pengiriman, kepolisian, perusahaan milik negara, media sosial, hingga e-commerce di Rusia, Polandia, dan Lituania.

Pada serangan yang berpura-pura sebagai layanan pemerintah, korban sering diarahkan ke halaman palsu yang menampilkan tagihan tol atau biaya layanan yang belum dibayar. Dalam beberapa kasus, pelaku bahkan menggunakan jebakan ClickFix, memancing korban untuk menjalankan kode berbahaya dengan dalih menyelesaikan verifikasi CAPTCHA.

UTA0388: Kampanye Siber Pro-China yang Gunakan ChatGPT dan GOVERSHELL untuk Serangan Spear-Phishing Global

Kelompok ancaman siber yang berafiliasi dengan China, dikenal dengan kode UTA0388, menjadi sorotan dunia keamanan digital setelah terungkap melancarkan kampanye spear-phishing internasional yang menyasar organisasi di Amerika Utara, Asia, dan Eropa. Kampanye ini menggunakan malware canggih berbasis bahasa pemrograman Go yang dikenal dengan nama GOVERSHELL, menjadikannya salah satu operasi spionase siber paling kompleks yang terdeteksi sepanjang 2025.

Menurut laporan dari firma keamanan Volexity, pesan-pesan phishing yang pertama kali diamati dibuat sangat spesifik dan tampak sah, seolah-olah dikirim oleh peneliti atau analis senior dari organisasi profesional. Namun, organisasi tersebut sepenuhnya palsu. Tujuannya jelas: mengelabui target agar mengklik tautan berbahaya yang mengarah ke arsip berisi muatan malware. Pendekatan personal ini memperlihatkan kemampuan tinggi UTA0388 dalam rekayasa sosial (social engineering), memanfaatkan kepercayaan manusia untuk menembus lapisan pertahanan siber perusahaan.

Evolusi Serangan: Dari Cloud Hosting hingga Rapport-Building Phishing

Dalam fase awal, pelaku UTA0388 menyebarkan tautan phishing melalui layanan cloud populer seperti Netlify, Sync, dan OneDrive, serta melalui infrastruktur milik mereka sendiri. Ketika korban mengakses tautan tersebut, sistem mereka tanpa sadar mengunduh arsip berformat ZIP atau RAR yang berisi file DLL jahat. File ini kemudian dijalankan secara diam-diam menggunakan teknik DLL side-loading, metode yang sering dipakai untuk mem-bypass deteksi antivirus dan mengeksekusi backdoor tanpa menarik perhatian pengguna.

Namun, seiring waktu, metode UTA0388 berkembang menjadi lebih rumit. Mereka mulai menerapkan strategi rapport-building phishing, yaitu membangun hubungan dengan target terlebih dahulu—baik melalui email, forum, atau platform profesional—sebelum akhirnya mengirimkan tautan berbahaya. Teknik ini membuat serangan mereka tampak lebih meyakinkan dan jauh lebih sulit dikenali oleh sistem keamanan konvensional.

Malware GOVERSHELL: Senjata Utama dalam Operasi Siber UTA0388

Inti dari seluruh kampanye ini adalah malware GOVERSHELL, sebuah backdoor yang dikembangkan dengan bahasa Go (Golang). Menurut temuan Volexity, GOVERSHELL merupakan penerus dari malware C++ lama bernama HealthKick, dan saat ini telah ditemukan dalam lima varian berbeda yang masing-masing memiliki fungsi unik:

1. HealthKick (April 2025): Menjalankan perintah melalui cmd.exe.

2. TE32 (Juni 2025): Mengeksekusi perintah secara langsung lewat PowerShell reverse shell.

3. TE64 (Juli 2025): Menggunakan PowerShell untuk mengumpulkan informasi sistem dan menjalankan perintah dinamis.

4. WebSocket (Juli 2025 pertengahan): Mengirim perintah PowerShell dan memiliki sub-command “update” yang belum diaktifkan.

5. Beacon (September 2025): Mampu menyesuaikan interval polling, merandomisasinya, dan menjalankan PowerShell secara native.

Setiap varian menunjukkan bahwa GOVERSHELL terus dikembangkan secara aktif. Bahkan, dalam beberapa kasus, malware ini dapat memodifikasi perilakunya secara dinamis tergantung pada sistem yang diserang.

Penyalahgunaan Layanan Sah dan Infrastruktur Email Terenkripsi

Serangan UTA0388 tidak hanya mengandalkan malware berteknologi tinggi. Mereka juga menyalahgunakan layanan dan platform sah untuk menyamarkan aktivitas mereka. Arsip berbahaya kerap diunggah ke layanan berbagi file seperti Netlify, Sync, dan OneDrive, sementara email pengirim sering berasal dari Proton Mail, Microsoft Outlook, dan Gmail—platform populer yang memiliki reputasi aman. Strategi ini mempersulit deteksi otomatis oleh sistem keamanan karena domain dan penyedia layanan yang digunakan terlihat sah di permukaan.

Selain itu, aktivitas UTA0388 tumpang tindih dengan kelompok lain yang dilacak oleh Proofpoint dengan nama UNK_DropPitch, menandakan adanya kemungkinan koordinasi atau pertukaran infrastruktur antar kelompok pro-China. 

Pemanfaatan ChatGPT: Automasi Kampanye dan Konten Phishing Multibahasa

Hal yang paling mengkhawatirkan dari seluruh operasi ini adalah penggunaan ChatGPT oleh kelompok UTA0388. Laporan terbaru menyebutkan bahwa pelaku menggunakan model bahasa besar (LLM) untuk membuat konten phishing dalam berbagai bahasa—termasuk Inggris, Mandarin, dan Jepang—serta untuk membantu menulis skrip berbahaya dan mencari panduan instalasi alat open-source seperti nuclei dan fscan.

OpenAI telah mengonfirmasi bahwa akun-akun ChatGPT yang digunakan untuk tujuan ini sudah diblokir, namun kasus ini membuka mata dunia terhadap potensi penyalahgunaan kecerdasan buatan dalam operasi siber. Indikasi otomatisasi juga terlihat pada koherensi pesan yang buruk dan persona fiktif yang diciptakan tanpa keterlibatan manusia nyata. 

Target Geopolitik dan Dampak Regional

Analisis Volexity menunjukkan bahwa sasaran utama dari kampanye ini memiliki keterkaitan dengan isu geopolitik Asia, terutama Taiwan. Serangan UTA0388 tampaknya dirancang untuk mengumpulkan intelijen strategis dan politik, bukan sekadar mencuri data finansial. Hal ini sejalan dengan pola aktivitas kelompok siber pro-China lainnya yang berfokus pada pengawasan dan pengaruh geopolitik regional.

Dalam laporan terpisah, StrikeReady Labs juga mengungkap bahwa kampanye siber serupa—yang diduga masih terkait dengan jaringan pro-China—telah menargetkan departemen penerbangan pemerintah Serbia, serta lembaga di Hungaria, Belgia, Italia, dan Belanda. Serangan tersebut menggunakan metode phishing serupa dengan halaman verifikasi Cloudflare palsu yang mengarahkan korban untuk mengunduh arsip ZIP berisi Windows shortcut (LNK) yang mengeksekusi malware PlugX.

Kampanye UTA0388 menjadi contoh nyata evolusi serangan siber modern yang menggabungkan rekayasa sosial, eksploitasi infrastruktur cloud, dan kecerdasan buatan (AI) untuk mencapai efisiensi tinggi. Penggunaan ChatGPT dalam menciptakan konten phishing multibahasa memperlihatkan bagaimana AI kini menjadi alat baru dalam operasi spionase digital.

Dengan terus berkembangnya varian GOVERSHELL dan meningkatnya otomatisasi serangan, organisasi perlu memperkuat deteksi email berlapis, analisis perilaku endpoint, serta pemantauan komunikasi keluar (outbound monitoring) untuk mendeteksi anomali sekecil apa pun. Dalam era di mana AI bisa digunakan untuk tujuan destruktif, kesiapan dan kewaspadaan menjadi benteng utama melawan ancaman seperti UTA0388.

CVE-2025-10725: Celah Kritis di Red Hat OpenShift AI Ancam Infrastruktur Cloud

Celah Keamanan Baru di OpenShift AI

Red Hat baru saja mengumumkan adanya kerentanan serius pada OpenShift AI, platform manajemen siklus hidup model kecerdasan buatan (AI) berskala besar. Layanan ini banyak digunakan untuk menangani alur kerja prediktif dan generatif AI, mulai dari akuisisi data, pelatihan model, fine-tuning, hingga monitoring performa dan akselerasi perangkat keras.

Kerentanan yang terdaftar dengan kode CVE-2025-10725 ini memiliki skor CVSS 9.9 dari 10, menandakan tingkat ancaman yang sangat tinggi. Meski demikian, Red Hat mengklasifikasikan kerentanan ini sebagai “Important” alih-alih “Critical” karena eksploitasi membutuhkan autentikasi. Artinya, seorang penyerang tetap harus memiliki akun sah di dalam lingkungan OpenShift AI untuk dapat melancarkan aksinya.

Bagaimana CVE-2025-10725 Bekerja

Menurut penjelasan resmi Red Hat, seorang pengguna dengan hak akses terbatas — misalnya data scientist yang menggunakan notebook Jupyter standar — dapat memanfaatkan kerentanan ini untuk meningkatkan hak aksesnya menjadi administrator penuh pada kluster. Jika skenario ini terjadi, maka kerahasiaan, integritas, dan ketersediaan dari seluruh sistem akan sepenuhnya terganggu.

Dampaknya sangat luas. Penyerang bisa mencuri data sensitif yang tersimpan, mengganggu jalannya semua layanan, serta mengambil kendali penuh atas infrastruktur di balik platform. Lebih jauh lagi, aplikasi yang di-hosting pada OpenShift AI juga dapat sepenuhnya disusupi. Hal ini menunjukkan bahwa serangan semacam ini dapat berujung pada total compromise terhadap sistem cloud perusahaan.

Versi OpenShift AI yang Terpengaruh

Berdasarkan laporan Red Hat, beberapa versi OpenShift AI yang terdampak kerentanan ini mencakup:

• Red Hat OpenShift AI 2.19

• Red Hat OpenShift AI 2.21

• Red Hat OpenShift AI (RHOAI)

Ketiga versi tersebut saat ini dianggap berisiko dan memerlukan penerapan mitigasi segera agar tidak dieksploitasi pihak berbahaya.

Mitigasi dan Rekomendasi Red Hat

Untuk mengurangi risiko eksploitasi CVE-2025-10725, Red Hat menyarankan agar pengguna tidak memberikan izin yang terlalu luas pada kelompok sistem-level. Salah satu perhatian utama adalah ClusterRoleBinding yang mengaitkan kueue-batch-user-role dengan system:authenticated group.

Sebagai gantinya, Red Hat menekankan pentingnya penerapan prinsip least privilege. Hak untuk membuat job sebaiknya diberikan secara granular hanya kepada pengguna atau grup tertentu yang memang membutuhkan, bukan secara menyeluruh. Pendekatan ini memastikan bahwa jika ada pengguna yang akunnya disusupi, ruang geraknya tetap terbatas sehingga kerusakan bisa diminimalkan.

Implikasi untuk Dunia Cloud dan AI

Kerentanan CVE-2025-10725 menyoroti betapa pentingnya keamanan pada platform manajemen AI di era cloud. OpenShift AI digunakan secara luas oleh perusahaan untuk mengelola model kecerdasan buatan dalam skala besar, terutama dalam lingkungan hybrid cloud yang kompleks.

Jika celah ini berhasil dieksploitasi, bukan hanya data yang terancam, tetapi juga seluruh infrastruktur cloud yang menopang operasional bisnis. Serangan semacam ini berpotensi menyebabkan downtime layanan kritis, kebocoran informasi sensitif, hingga kerugian finansial dalam jumlah besar. Bagi organisasi yang bergantung pada AI untuk operasi sehari-hari, risiko ini menjadi semakin signifikan.

Lebih jauh lagi, kasus ini kembali mengingatkan komunitas teknologi bahwa keamanan cloud tidak hanya bergantung pada enkripsi data atau autentikasi, tetapi juga pada kontrol akses internal yang ketat. Dalam banyak kasus, penyerang tidak lagi hanya mencoba masuk dari luar, tetapi juga memanfaatkan celah dari dalam dengan memanipulasi akun berizin terbatas.

Celah keamanan CVE-2025-10725 pada Red Hat OpenShift AI adalah pengingat bahwa bahkan platform AI dan cloud yang paling canggih sekalipun tidak kebal dari ancaman siber. Skor CVSS yang hampir sempurna (9.9) menegaskan tingkat bahayanya, meskipun eksploitasi membutuhkan autentikasi.

Organisasi yang menggunakan OpenShift AI, khususnya versi 2.19, 2.21, dan RHOAI, disarankan segera mengikuti pedoman mitigasi yang telah dikeluarkan Red Hat. Mengadopsi prinsip least privilege, memperketat akses, serta memantau aktivitas pengguna adalah langkah krusial untuk meminimalisasi risiko.

Di tengah meningkatnya adopsi AI dan cloud computing, insiden ini menyoroti bahwa keamanan harus menjadi prioritas utama, bukan fitur tambahan. Tanpa langkah pencegahan yang kuat, platform yang dirancang untuk mendukung inovasi justru bisa menjadi pintu masuk bagi serangan yang merusak.

Battering RAM: Serangan Baru Guncang Keamanan CPU Intel dan AMD di Cloud Computing

Battering RAM: Ancaman Baru untuk Keamanan Cloud

Sebuah tim peneliti dari KU Leuven dan University of Birmingham mengungkapkan kerentanan baru bernama Battering RAM yang berhasil menembus lapisan pertahanan terbaru pada prosesor cloud Intel dan AMD. Celah ini menjadi perhatian serius karena memengaruhi sistem yang menggunakan memori DDR4, terutama dalam lingkungan cloud computing yang mengandalkan enkripsi memori untuk menjaga kerahasiaan data.

Dengan menggunakan perangkat interposer sederhana senilai sekitar 50 dolar, para peneliti menunjukkan bagaimana alat ini dapat bekerja secara transparan saat sistem menyala dan melewati semua pemeriksaan kepercayaan. Namun, hanya dengan satu kali saklar, perangkat tersebut bisa berubah menjadi berbahaya dan secara diam-diam mengalihkan alamat memori terlindungi ke lokasi yang dikendalikan penyerang. Teknik ini memungkinkan penyusupan ke area memori terenkripsi tanpa terdeteksi, membuka peluang korupsi data maupun penyisipan kode berbahaya.

Dampak terhadap Intel SGX dan AMD SEV-SNP

Battering RAM terbukti mampu melemahkan dua teknologi keamanan andalan: Intel Software Guard Extensions (SGX) dan AMD Secure Encrypted Virtualization with Secure Nested Paging (SEV-SNP). Kedua fitur ini dirancang untuk melindungi data pengguna dengan memastikan memori tetap terenkripsi bahkan saat digunakan.

Pada platform Intel, serangan ini dapat memberikan akses baca arbitrer ke plaintext korban atau menyisipkan data berbahaya langsung ke enclave. Sementara pada AMD, Battering RAM bisa melewati mitigasi firmware terbaru terhadap celah sebelumnya bernama BadRAM dan memungkinkan penyerang menanamkan backdoor ke dalam mesin virtual tanpa menimbulkan kecurigaan.

Hal ini menimbulkan risiko besar terutama bagi penyedia cloud atau pihak internal dengan akses fisik terbatas. Dengan celah ini, mereka bisa membobol mekanisme remote attestation dan menyusupkan kode berbahaya ke dalam beban kerja yang seharusnya terlindungi.

Keterbatasan Desain Enkripsi Memori

Para peneliti menekankan bahwa serangan ini mengungkap kelemahan mendasar dari desain enkripsi memori berskala besar yang digunakan Intel dan AMD. Demi mendukung ukuran memori yang lebih besar, keduanya mengabaikan pemeriksaan kriptografis terhadap freshness data. Akibatnya, Battering RAM dapat menciptakan alias memori baru secara dinamis saat runtime, melewati pemeriksaan aliasing yang biasanya hanya dilakukan saat booting.

Vendor besar seperti Intel, AMD, dan Arm sudah diberi tahu mengenai temuan ini. Namun, mereka menilai bahwa serangan fisik seperti ini masih dianggap berada di luar cakupan ancaman resmi. Padahal, menurut para peneliti, mitigasi terhadap Battering RAM membutuhkan desain ulang mendasar terhadap sistem enkripsi memori itu sendiri.

Tren Serangan Baru terhadap Keamanan CPU

Temuan Battering RAM muncul di tengah rangkaian laporan mengenai kerentanan baru pada prosesor modern. AMD baru-baru ini mendapat sorotan setelah riset dari University of Toronto (Heracles) dan ETH Zürich (Relocate-Vote) membuktikan adanya kebocoran data pada teknologi SEV-SNP. Penyerang bisa memanfaatkan manipulasi data oleh hypervisor untuk mengungkap pola dalam memori terenkripsi.

Tidak berhenti di situ, ETH Zürich juga menemukan potensi penyalahgunaan fitur stack engine pada prosesor AMD Zen 5 yang dapat dieksploitasi sebagai kanal samping. Sementara itu, VU Amsterdam mengungkap celah L1TF Reloaded, kombinasi teknik L1 Terminal Fault dan Half-Spectre yang dapat membocorkan memori virtual machine di cloud publik.

Belum lama ini, serangan VMScape (CVE-2025-40300) juga diperkenalkan oleh akademisi ETH Zürich. Serangan ini memanfaatkan celah pada prosesor AMD Zen dan Intel Coffee Lake untuk menembus isolasi virtualisasi dan membocorkan memori antarproses.

Implikasi bagi Cloud Computing dan Masa Depan Keamanan

Battering RAM dan rangkaian serangan serupa memperlihatkan tantangan serius dalam menjaga keamanan di era cloud computing. Infrastruktur cloud yang dipercaya menyimpan data sensitif jutaan pengguna kini dihadapkan pada ancaman bahwa perlindungan hardware-level tidaklah mutlak.

Bagi penyedia cloud, temuan ini menegaskan perlunya lapisan keamanan tambahan di luar sekadar mengandalkan enkripsi memori bawaan prosesor. Bagi industri, ini menjadi panggilan untuk meninjau kembali desain arsitektur CPU agar mampu menghadapi ancaman fisik maupun digital dengan lebih tangguh.

Pada akhirnya, Battering RAM bukan hanya serangan teknis, melainkan peringatan bahwa batas keamanan hardware modern masih bisa ditembus dengan cara yang sederhana namun efektif. Dunia komputasi awan kini harus lebih waspada terhadap eksploitasi baru yang terus bermunculan di lini prosesor canggih.