“Presidential AI Challenge” di Sekolah Amerika: Ambisi Besar, Rem Pengaman, dan PR Kebijakan

Image by <a href="https://pixabay.com/users/ronaldcandonga-17383039/?utm_source=link-attribution&utm_medium=referral&utm_campaign=image&utm_content=5382501">Ronald Carreño</a> from <a href="https://pixabay.com//?utm_source=link-attribution&utm_medium=referral&utm_campaign=image&utm_content=5382501">Pixabay</a>

Tahun ajaran baru di Amerika Serikat dibuka dengan sebuah pesan politik dan pendidikan yang kuat. Gedung Putih meluncurkan Presidential Artificial Intelligence Challenge, sebuah inisiatif nasional yang mendorong siswa dan guru K-12 untuk merancang proyek berbasis kecerdasan buatan (AI) yang menanggapi masalah di lingkungan mereka. Pada saat yang sama, regulator menyalakan lampu kuning: Federal Trade Commission (FTC) bersiap menyelidiki apakah penggunaan chatbot populer dapat berdampak buruk pada kesehatan mental anak. Dua arus ini—percepatan adopsi dan pengetatan pengawasan—mencerminkan dinamika baru dalam kebijakan pendidikan teknologi.

Di tingkat pusat, Presiden Donald Trump mengundang para pemimpin perusahaan teknologi untuk membahas cara memanfaatkan AI agar Amerika tetap di garis depan inovasi global. Diskusi itu menyusul pertemuan kedua White House Task Force on AI Education, di mana Ibu Negara Melania Trump mengumumkan serangkaian komitmen: mulai dari penyusunan toolkit, penyelenggaraan webinar, panduan kelas, hingga rencana aksi lintas lembaga agar materi dan alat pelatihan AI dapat lebih luas digunakan di sekolah K-12.

Nada optimistis juga datang dari Kementerian Pendidikan yang menyatakan keselarasan penuh dengan agenda nasional tersebut. Pesannya sederhana namun strategis: siswa dan pendidik didorong menjelajah teknologi AI dengan rasa ingin tahu, kreativitas, dan tanggung jawab. Kementerian Tenaga Kerja menambahkan dimensi ketenagakerjaan: membangun kemitraan baru dengan sektor swasta untuk memperluas akses pendidikan dan pelatihan AI di seluruh negeri, sebagai jembatan antara ruang kelas dan kebutuhan dunia kerja.

Di sisi industri, komitmen bernilai besar mengalir. Perusahaan seperti Alphabet dan IBM menegaskan dukungan pada pendidikan AI—mulai dari pendanaan, penyediaan sumber belajar, hingga program peningkatan keterampilan (skilling) skala luas. Di ruang publik, pemimpin perusahaan menekankan bahwa investasi ini bukan sekadar talk show teknologi, melainkan upaya membekali generasi muda dengan alat berpikir, alat berkarya, dan kesiapan menghadapi tantangan baru.

Namun antusiasme tersebut diimbangi dengan kekhawatiran yang realistis. Para pakar mengingatkan adanya risiko ketika AI didorong masuk ke kelas tanpa pagar pengaman yang memadai. Tantangannya meliputi kerentanan keamanan siber, potensi pelanggaran privasi, kualitas dan kesesuaian konten untuk usia anak, hingga dampak psikososial yang belum sepenuhnya terukur. Investigasi FTC terhadap dampak chatbot pada kesehatan mental anak menegaskan urgensi membangun standar keselamatan yang sepadan dengan kecepatan inovasi.

Di tengah tarik-menarik itu, Presidential AI Challenge patut dibaca sebagai strategi “belajar dengan membuat”. Alih-alih mengenal AI sebatas teori, siswa didorong untuk merancang solusi yang menjawab kebutuhan komunitas. Pendekatan berbasis proyek seperti ini efektif menumbuhkan literasi AI, nalar ilmiah, kerja kolaboratif, sekaligus kepekaan etis. Guru, pada gilirannya, berperan sebagai perancang pengalaman belajar yang menempatkan teknologi sebagai alat bantu, bukan pengganti proses pedagogis.

Meski begitu, keberhasilan kebijakan ditentukan oleh cara implementasi. Pertama, adopsi AI di sekolah sebaiknya berbasis pedagogi. Tujuan belajar harus datang terlebih dahulu, baru teknologi dipilih untuk melayani tujuan itu. Dengan demikian, AI menjadi “kopilot” yang memperkaya proses, bukan “autopilot” yang mengambil alih penilaian guru dan proses berpikir siswa. Kedua, tata kelola data harus ketat. Sekolah dan dinas pendidikan perlu memastikan minimisasi data, kejelasan peran penyedia layanan, pengendalian akses, serta mekanisme audit independen yang rutin.

Ketiga, kurasi dan keamanan konten wajib dirancang by design. Model yang digunakan di ranah K-12 perlu pagar usia (age-appropriate), pencegahan konten berbahaya, serta prosedur penanganan insiden. Ini tidak bisa diserahkan semata kepada pengaturan standar pabrikan; konteks lokal sekolah—nilai komunitas, budaya, dan kebutuhan pembelajaran—harus diterjemahkan menjadi kebijakan praktis di kelas. Keempat, kapasitas guru menjadi kunci. Pelatihan tidak berhenti pada “cara memakai” alat AI, tetapi menguatkan kemampuan merancang penugasan yang mendorong verifikasi sumber, argumentasi, dan refleksi—tiga hal yang membuat AI menjadi sarana pengayaan, bukan jalan pintas.

Selain itu, kesenjangan digital perlu diantisipasi sejak awal. Komitmen perangkat lunak dan materi pelatihan akan timpang jika tidak diikuti dukungan perangkat keras, konektivitas, dan tenaga teknis yang memadai di sekolah. Tanpa desain inklusif, program AI berisiko hanya dinikmati sekolah yang sudah mapan, sementara sekolah di wilayah tertinggal semakin tertinggal. Pemerataan infrastruktur dan skema pembiayaan menjadi penyangga agar transformasi digital tidak mengabadikan ketimpangan.

Dari sisi evaluasi, ukuran keberhasilan tidak bisa hanya berhenti pada “tingkat pemakaian alat”. Indikator yang lebih bermakna adalah peningkatan literasi digital, nalar kritis, kemampuan pemecahan masalah, dan—ini penting—kesejahteraan siswa. Portofolio proyek, asesmen autentik, serta umpan balik formatif yang terstruktur akan memberi gambaran apakah AI benar-benar memperdalam proses belajar, bukan sekadar mempercepat produksi tugas.

Perlu juga dicatat bahwa dinamika regulasi sedang bergerak. Rencana FTC menelaah dampak chatbot pada anak seharusnya tidak dibaca sebagai hambatan, melainkan pelengkap. Penyelidikan dan panduan regulator dapat memberi kerangka kerja yang jelas bagi sekolah dan penyedia teknologi: bagaimana standar privasi diterapkan, bagaimana perlindungan usia dijalankan, dan bagaimana jalur eskalasi risiko ditata. Dengan kata lain, inovasi dan pengawasan bisa berjalan beriringan untuk membangun kepercayaan publik.

Sinyal adaptasi juga muncul dari industri. Pengumuman rencana akun remaja dengan kontrol orang tua misalnya, menunjukkan kesediaan penyedia teknologi menyesuaikan produk dengan kebutuhan proteksi usia sekolah. Langkah seperti ini relevan bila diikuti transparansi praktik moderasi, opsi pelaporan, dan pengawasan orang tua yang mudah digunakan, sehingga ekosistem pendidikan tidak memindahkan beban risiko sepenuhnya ke guru.

Pada akhirnya, arah besar kebijakan ini jelas: AI diposisikan sebagai bagian dari strategi daya saing nasional. Pendidikan menjadi fondasi agar generasi muda tidak sekadar menjadi pengguna, tetapi perancang solusi. Namun legitimasi program akan bertumpu pada tiga hal: ketepatan pedagogi, kekuatan pagar pengaman, dan evidensi hasil belajar. Jika ketiganya hadir secara seimbang, Presidential AI Challenge bukan hanya peluncuran yang meriah di awal semester, melainkan awal dari praktik pembelajaran yang lebih bermakna, aman, dan inklusif.

Tantangan terbesar bukan pada seberapa cepat sekolah mengadopsi AI, melainkan seberapa cermat sekolah menempatkan teknologi dalam kerangka tujuan pendidikan. Dengan menomorsatukan keselamatan, keadilan akses, dan kualitas proses belajar, AI berpotensi menjadi pendorong lompatan mutu—bukan sekadar tren musiman di ruang kelas.

CVE-2025-53690: Serangan ViewState di Sitecore Memanfaatkan machineKey Bocor—Inilah Yang Harus Dilakukan Sekarang

Image by <a href="https://pixabay.com/users/yamu_jay-44818947/?utm_source=link-attribution&utm_medium=referral&utm_campaign=image&utm_content=9268132">kp yamu Jayanath</a> from <a href="https://pixabay.com//?utm_source=link-attribution&utm_medium=referral&utm_campaign=image&utm_content=9268132">Pixabay</a>

CVE-2025-53690 (CVSS 9.0) menargetkan Sitecore (XM/XP/XC/Managed Cloud) melalui deserialisasi ViewState yang memanfaatkan machineKey ASP.NET statis dari panduan deployment lama. Eksploitasi aktif telah diamati: penyerang masuk via RCE, menaikkan hak akses, bertahan, melakukan rekonsaisans Active Directory, lalu bergerak lateral hingga pencurian data. FCEB diimbau menambal sebelum 25 September 2025. Putar ulang machineKey, perketat konfigurasi, batasi paparan ke internet publik, dan cari indikator kompromi yang dirinci di bawah.

Mengapa Kerentanan Ini Berbahaya

Masalah utamanya adalah deserialisasi data tak tepercaya pada ViewState ketika aplikasi menggunakan machineKey default/statis. Jika machineKey terekspos (misalnya dari dokumentasi lama), penyerang bisa memvalidasi dan mengeksekusi payload ViewState berbahaya, menghasilkan Remote Code Execution (RCE) di server Sitecore yang menghadap internet. Nilai CVSS 9.0 mencerminkan dampak kritis—akses awal mudah berujung kendali penuh lingkungan.

Latar & Garis Waktu Singkat

  • 2017 dan sebelumnya — Panduan deployment Sitecore memuat contoh machineKey; sebagian pengguna menyalin mentah tanpa mengganti dengan nilai unik.
  • Desember 2024 – Februari 2025 — Microsoft mengamati eksploitasi terbatas terhadap machineKey bocor; beberapa kasus digunakan untuk menjatuhkan kerangka pasca-eksploitasi Godzilla.
  • Maret–Mei 2025 — Kasus serupa muncul:
    • CVE-2025-30406 (CentreStack/Gladinet): machineKey tidak terlindungi → RCE.
    • CVE-2025-3935 (ConnectWise ScreenConnect): celah autentikasi → injeksi ViewState di dunia nyata terhadap sebagian kecil pelanggan.
  • Juli 2025 — Broker akses awal Gold Melody dikaitkan kampanye yang mengeksploitasi machineKey ASP.NET bocor untuk menjual akses tidak sah.
  • September 2025 — CISA mengimbau lembaga FCEB melakukan pembaruan Sitecore sebelum 25 September 2025.
Konteks ini menunjukkan satu pola: konfigurasi tidak aman + machineKey publik = jalur cepat ke RCE

Detail Teknis Serangan

  • Vektor awal: ViewState deserialization menggunakan sampel machineKey yang beredar di panduan deployment lama untuk menandatangani payload.
  • Payload: .NET assembly bernama WEEPSTEEL yang:
    • Mengumpulkan informasi sistem, jaringan, dan pengguna.
    • Mengekfiltrasi data ke penyerang.
    • Meminjam sebagian fungsi dari alat Python ExchangeCmdPy.py.
  • Alat bantu & tahap lanjutan:
    • EarthWorm — tunneling SOCKS untuk pivoting jaringan.
    • DWAgent — akses jarak jauh persisten + rekonsaisans AD (identifikasi Domain Controller).
    • SharpHound — enumerasi Active Directory.
    • GoTokenTheft — inventarisasi token pengguna unik, eksekusi perintah via token, dan daftar proses + token terkait.
    • RDP — pergerakan lateral.
Penyerang pernah membuat asp$ dan sawadmin untuk dump hives SAM/SYSTEM demi kredensial admin, lalu menghapus akun sementara itu setelah memperoleh akses admin yang lebih "normal"

Siapa yang Berisiko?

  • Seluruh flavor Sitecore: XM, XP, XC, Managed Cloud—terutama instans yang terekspos ke internet.
  • Lingkungan yang menyalin contoh machineKey dari dokumentasi resmi lama alih-alih membuat kunci unik dan acak.
  • Lembaga FCEB secara khusus diimbau menambal sebelum 25 September 2025, tapi praktik ini relevan untuk organisasi mana pun.
Insiden ini juga memberi pelajaran tentang tata kelola dokumentasi dan praktik deployment. Contoh konfigurasi dalam panduan resmi harus diperlakukan sebagai placeholder semata, bukan templat final. Alur pipeline modern sebaiknya memaksa pembuatan machineKey unik pada setiap environment melalui secrets manager yang terintegrasi, sekaligus melarang penggunaan kunci yang sama di antara lingkungan pengembangan, uji, dan produksi. Organisasi yang mengandalkan golden image atau AMI lama perlu memastikan tidak ada kunci kriptografi tertanam yang terbawa ke rilis baru.

WinRAR Zero-Day CVE-2025-8088: RomCom & Paper Werewolf Eksploitasi Path Traversal, Patch 7.13 Wajib Segera

Mengapa CVE-2025-8088 Berbahaya

Celah ini memungkinkan arsip RAR berisi Alternate Data Streams (ADSes) menyisipkan path relatif (..\) sehingga saat pengguna mengekstrak, WinRAR/komponen terkait menulis file di luar folder tujuan—termasuk ke Windows Startup—yang kemudian eksekusi otomatis saat login berikutnya. Dampaknya: RCE dengan interaksi pengguna minimal (ekstraksi).

Dalam rantai serangan yang diamati ESET, arsip berisi DLL berbahaya (mis. msedge.dll) ke %TEMP%/%LOCALAPPDATA% dan LNK ke Startup untuk persistensi—sesudah itu dropper memuat Mythic agent, SnipBot, atau RustyClaw. Target: sektor keuangan, manufaktur, pertahanan, logistik di Eropa & Kanada.

Keterkaitan dengan CVE-2025-6218

Beberapa operasi (terutama Paper Werewolf) dilaporkan menggabungkan CVE-2025-8088 dengan CVE-2025-6218—sama-sama directory/path traversal di WinRAR untuk Windows—guna menulis file di luar direktori ekstraksi dan memicu eksekusi (mis. dari Startup). CVE-2025-6218 diungkap Juni 2025 dan dipatch di WinRAR 7.12 (beta → final).

Garis Waktu Singkat 

  • 18–21 Juli 2025: ESET mengamati spear-phishing bertema CV/lamaran kerja; eksploitasi CVE-2025-8088 terjadi di internet.
  • 19 Juni–25 Juni 2025: CVE-2025-6218 dipublikasikan/ditambal (7.12 beta), rentan versi 7.11 ke bawah.
  • 24–30 Juli 2025: ESET laporkan 7.13 beta (24 Juli) dan rilis 7.13 (30 Juli). Rilis final WinRAR 7.13 tercatat 12 Agustus 2025. CISA KEV menambahkan CVE-2025-8088 pada 12 Agustus 2025.
  • 7 Juli 2025: Iklan eksploit WinRAR zero-day seharga $80.000 muncul di Exploit.in; diduga terkait operasi Paper Werewolf.

Dampak Dunia Nyata & Atribusi

  • RomCom: kampanye tertarget, memanfaatkan arsip dengan ADS untuk path traversal, kirim backdoor SnipBot, RustyClaw, Mythic. ESET menyebut tidak ada target yang berhasil dikompromi dalam telemetri mereka, tetapi TTP-nya matang dan berulang.
  • Paper Werewolf (GOFFEE): mengincar organisasi Rusia pada Juli 2025 melalui email phishing dengan arsip yang memicu CVE-2025-6218 dan kemungkinan CVE-2025-8088; payload loader .NET yang mengirim info sistem & mengambil malware lanjutan/reverse shell. 

Cara Cek & Memperbaiki / Menambal (Untuk Pengguna & Admin)

  1. Cek versi: buka WinRAR → Help → About. Jika ≤ 7.12, rentan. Update ke 7.13 (desktop, UnRAR.dll, RAR for Windows, portable UnRAR source) dan pastikan aplikasi lain yang membundel UnRAR.dll ikut diperbarui.
  2. Perbarui kebijakan email: kuarantina .rar dari sumber tak dikenal; ekstrak di sandbox. Pola umpan CV/lamaran kerja sedang dipakai.
  3. Pantau indikator (SOC/Blue Team):
    • Pembuatan .lnk di %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\ oleh proses WinRAR.
    • Artefak DLL ke %TEMP%/%LOCALAPPDATA% (contoh msedge.dll).
    • Kaitan ADSes & error path relatif saat ekstraksi (petunjuk upaya traversal).
  4. Blokir persistensi mudah: audit & bersihkan jalur Startup per-user/mesin; kebijakan yang mencegah drop LNK dari proses non-privileged membantu menurunkan risiko (defense-in-depth). (Umum, melengkapi patch).
  5. Catat prioritas: CISA KEV menandai CVE-2025-8088; organisasi yang tunduk pada BOD 22-01 diwajibkan mitigasi cepat.

Bukan Cuma WinRAR: 7-Zip Juga Menambal

7-Zip memperbaiki CVE-2025-55188 (sebelum 25.01): salah menangani symbolic link saat ekstraksi sehingga berpotensi arbitrary file write dan eskalasi ke eksekusi kode; terutama berdampak di Unix, dan di Windows butuh kemampuan membuat symlink (Admin/Developer Mode). Update ke 25.01.

GhostRedirector: Saat Mesin Pencari Dijadikan Senjata — Memanfaatkan Server Windows demi SEO Ilegal

Image by <a href="https://pixabay.com/users/thedigitalartist-202249/?utm_source=link-attribution&utm_medium=referral&utm_campaign=image&utm_content=2321110">Pete Linforth</a> from <a href="https://pixabay.com//?utm_source=link-attribution&utm_medium=referral&utm_campaign=image&utm_content=2321110">Pixabay</a>

Sebuah klaster ancaman baru bernama GhostRedirector terungkap menodai setidaknya 65 server Windows di berbagai negara—terutama Brasil, Thailand, dan Vietnam—dengan dua alat kustom: backdoor pasif Rungan (C/C++) dan modul IIS bernama Gamshen. Rungan memberi penyerang eksekusi perintah jarak jauh; Gamshen memanipulasi hasil mesin pencari untuk mendongkrak peringkat situs tertentu. Aktivitasnya terpantau sejak Agustus 2024 dan memuncak pada pertengahan 2025.

GhostRedirector tidak sekadar “deface” situs: ia mengubah reputasi situs sah menjadi lumbung backlink yang mendorong kampanye SEO fraud-as-a-service, sering kali mengarah ke promosi situs judi. Dampak jangka panjangnya adalah turunnya kepercayaan pengunjung, penalti mesin pencari, serta pijakan tetap bagi pelaku untuk operasi lanjutan. Praktik modul IIS berbahaya memang sulit dideteksi karena arsitektur dan lokasinya “serupa” modul sah, sebagaimana telah diingatkan Microsoft.

Jalur masuk: dari injeksi SQL ke PowerShell

Akses awal diduga melalui kerentanan aplikasi—kemungkinan SQL injection—yang lalu memicu eksekusi PowerShell untuk mengunduh tool dari peladen staging 868id[.]com. Banyak eksekusi PowerShell terlacak berasal dari proses sqlserver.exe melalui  xp_cmdshell, memperkuat hipotesis injeksi SQL → RCE. Contoh perintah memperlihatkan unduhan komponen langsung ke  C:\ProgramData\..

Dua mesin inti: Rungan & Gamshen

1) Rungan — backdoor pasif, siap menerima perintah
  • Mekanisme dengar-diam: Mendaftarkan URL pola http://+:80/v1.0/8888/sys.html dan menunggu request yang cocok.
  • Protokol C2 sederhana: Parameter HTTP menentukan aksi; tanpa enkripsi.
  • Set perintah utama:
    • mkuser — membuat akun pengguna (nama, kata sandi, grup).
    • listfolder — mengumpulkan info direktori (belum tuntas).
    • addurl — menambah pola URL yang dipantau.
    • cmd — mengeksekusi perintah lewat pipa dan CreateProcessA.
  • Lokasi & konfigurasi: Sering ditaruh di C:\ProgramData\Microsoft\DRM\log\miniscreen.dll; opsi konfigurasi ekstra melalui file vbskui.dll.
2) Gamshen — modul IIS untuk SEO manipulatif
  • Target khusus: Mengintersep request dari Googlebot saja, lalu mengubah respons HTTP guna menyisipkan tautan/backlink yang menguntungkan situs pihak ketiga.
  • Tujuan: Mengangkat peringkat pencarian target (sering dikaitkan situs perjudian).
  • Konteks ekosistem: Serupa konsep dengan IISerpent (2021) dan senafas dengan tren BadIIS pada kampanye DragonRank.

Bukan dua alat saja: ketahanan dan daya tempur 

GhostRedirector memasang beberapa utilitas untuk persistensi dan eskalasi hak akses:
  • BadPotato / EfsPotato — membuat akun admin baru.
  • GoToHTTP — akses jarak jauh berbasis peramban.
  • Zunput — menginventarisasi situs di IIS dan menjatuhkan web shell (ASP, PHP, JavaScript) di direktori yang aktif mengeksekusi konten dinamis.
Lokasi favorit instalasi: C:\ProgramData\… (khususnya …\Microsoft\DRM\log\).

Siapa yang jadi korban & di mana

Selain fokus di Brasil, Thailand, dan Vietnam, korban juga muncul di Peru, AS, Kanada, Finlandia, India, Belanda, Filipina, dan Singapura, menimpa beragam sektor: pendidikan, kesehatan, asuransi, transportasi, teknologi, dan ritel. Polanya oportunistik: pelaku memburu server rentan alih-alih entitas tertentu.

Dampak pada organisasi

  • Reputasi & SEO: Situs sah terseret skema black-hat SEO, berisiko penalti indeks dan kehilangan kepercayaan.
  • Keamanan aplikasi: Backdoor pasif + web shell memberi akses berkelanjutan untuk fase berikutnya (data theft/penyusupan lateral).
  • Forensik lebih sulit: Modul IIS menyelusup di direktori & alur yang sama dengan modul sah, membuatnya lebih licin dari malware web biasa.

Deteksi & mitigasi (prioritas eksekusi)

  1. Tambal aplikasi web yang menghadap internet; audit khusus endpoint rawan SQLi.
  2. Matikan xp_cmdshell dan monitor pemanggilan PowerShell/CertUtil dari proses database/web server.
  3. Baseline modul IIS: inventaris semua native/managed module; cari anomali nama/versi/lokasi (bandingkan dengan daftar resmi).
  4. Pantau pola file & lokasi: C:\ProgramData\Microsoft\DRM\log\*, nama DLL mencurigakan (miniscreen.dll, ManagedEngine.dll*), serta dropped web shell (ekstensi .asp, .aspx, .php, .cer, .pjp).
  5. Filter user & grup: telusuri akun baru/aneh (mis. MysqlServiceEx, Admin) dan perubahan grup Administrators.
  6. Inspeksi lalu lintas keluar ke domain 868id[.]com dan subdomain/infra C2 terkait; blokir dan lakukan threat hunting historis.
  7. Integrasi EDR/AV dengan aturan khusus** CreateProcessA** dari proses tak lazim, pendaftaran URL via HTTP Server API, dan hook handler IIS (OnBeginRequest, dsb.).
  8. Hardening PowerShell (Constrained Language Mode, script block logging), AppLocker/WDAC untuk membatasi eksekusi biner asing.
  9. WAF & RASP untuk menekan vektor injeksi; gunakan parameterized queries & ORM.
  10. Pemantauan Googlebot: korelasikan anomali hanya pada request user-agent crawler (respons “berbeda” dibanding kunjungan manusia).
  11. IR playbook: jika terindikasi, isolasi, rotasi kredensial, cabut sertifikat, dan bersihkan modul IIS lalu deploy ulang dari baseline bersih.
  12. SEO hygiene: ajukan reconsideration (jika terpenalti), hapus injeksi tautan, dan pulihkan struktur internal link.
GhostRedirector memperlihatkan bagaimana infrastruktur web yang kredibel bisa diputarbalikkan menjadi agen manipulasi algoritme—sembari menyisakan backdoor untuk operasi yang lebih dalam. Bagi pengelola IIS, fokuskan pembenahan pada higiene aplikasi (anti-SQLi), pemantauan modul, dan kontrol eksekusi. Perang SEO kotor tak kalah berbahaya dari infeksi data—karena menyasar kepercayaan yang menjadi fondasi web modern.

Gelombang Serangan Spear-Phishing Bernuansa Geopolitik: Operasi Iran Menyasar Korps Diplomatik Global

Foto oleh Antoni Shkraba Studio: https://www.pexels.com/id-id/foto/laptop-mengetik-komputer-komunikasi-5475752/

Gelombang Serangan Spear-Phishing Bernuansa Geopolitik: Operasi Iran Menyasar Korps Diplomatik Global


Dalam situasi tensi Iran–Israel yang memanas, kampanye spear-phishing terkoordinasi menargetkan kedutaan, konsulat, dan organisasi internasional lintas benua. Penelusuran intelijen siber mengaitkan operasi multi-gelombang ini dengan operator berporos Iran yang terhubung ke kelompok Homeland Justice, dengan salah satu titik awal berasal dari kotak surat Kementerian Luar Negeri Oman di Paris yang dikompromikan. Di balik email yang tampak resmi, dokumen Word berisi makro VBA dipakai untuk mengeksekusi muatan malware, membangun persistensi, berkomunikasi dengan C2, dan mengumpulkan informasi sistem.

Kenapa Insiden Ini Penting

Target utamanya bukan sembarang pengguna: korps diplomatik dan lembaga pemerintah. Akses ke korespondensi mereka bernilai strategis—dari dinamika negosiasi hingga peta kepentingan regional. Bukti menunjukkan kampanye ini bukan serangan acak, melainkan bagian dari operasi spionase yang lebih luas dan berlangsung dalam beberapa gelombang.

Rantai Serangan: Dari “Enable Content” ke Kendali Penyerang

Serangan dibuka lewat email yang menyamar sebagai komunikasi diplomatik sah, memancing penerima membuka file Word dan menekan tombol “Enable Content”. Begitu makro aktif, skrip VBA mendekode muatan tersembunyi, menuliskannya ke disk sebagai file berkamuflase, lalu mengeksekusinya diam-diam. Dari sana, implant membuat persistensi, mengontak server perintah-dan-kendali (C2), serta memanen informasi host sebagai tahap awal pengintaian. Pola ini mengandalkan kebiasaan lama—macro-enabled docs—tetapi dipadukan dengan kredibilitas sumber yang telah diambil alih.

Inti taktiknya:

  • Umpan bertema geopolitik (Iran–Israel) agar relevan bagi diplomat.
  • Makro VBA sebagai dropper yang mengurai payload, mengeksekusi tersembunyi, dan mempertahankan jejak seminimal mungkin.
  • Akun pengirim yang sah namun dibajak untuk menembus filter dan kewaspadaan manusia.


Skala & Sasaran: Enam Benua, Fokus Eropa–Afrika

Distribusi target mencakup Timur Tengah, Afrika, Eropa, Asia, hingga benua Amerika. Laporan teknis menghimpun 270 email yang memanfaatkan 104 alamat sah yang telah dikompromikan—sebagian besar milik pejabat atau entitas semu pemerintah—untuk menambah lapisan legitimasi. Eropa tercatat paling banyak disasar, disusul berbagai organisasi di Afrika; organisasi internasional seperti PBB dan lembaga-lembaganya juga masuk radar.

Atribusi: Benang Merah ke Homeland Justice

Investigasi mengaitkan operasi ini dengan aktor yang selaras dengan Homeland Justice, kelompok APT yang diasosiasikan dengan Kementerian Intelijen dan Keamanan Iran (MOIS). Peneliti independen lain menguatkan temuan serupa dan menandaskan bahwa teknik pengaburan (obfuscation) yang dipakai sejalan dengan pola kelompok Iran dalam operasi sebelumnya.

Konteks historis: ClearSky mencatat teknik obfuscation yang mirip pernah terlihat pada 2023 saat menargetkan Mojahedin-e-Khalq di Albania, sehingga masuk akal bila serangkaian artefak teknis dalam kampanye terbaru ini mengarah ke pelaku yang sama.

Tujuan Operasi: pijakan awal untuk spionase berkelanjutan

Muatan yang diturunkan (dropper → executable) dirancang untuk:

  1. Mendirikan persistensi di sistem korban,
  2. Membangun kanal C2 untuk instruksi lanjutan,
  3. Menginventarisasi host (user, nama komputer, privilese admin) sebagai dasar langkah berikutnya.
Tujuan ini selaras dengan pengumpulan intelijen, bukan penghancuran sistem—mencari pijakan senyap yang dapat diperluas sesuai kebutuhan misi.

Teknik Kunci yang Membuatnya Efektif

  • Penyamaran institusional: penggunaan kotak surat *@fm.gov.om (Kemenlu Oman—Paris) menumbuhkan kepercayaan penerima.
  • Tema surat yang “wajar” untuk diplomat: notifikasi mendesak, undangan diskusi kebijakan, atau pembaruan MFA.
  • Makro sebagai jalur lama yang tetap manjur: meski mitigasi Microsoft menekan makro berbahaya, reputasi pengirim membuat penerima lebih mudah lengah.


Dampak Strategis: ketika diplomasi menjadi target utama

Membaca arus komunikasi kedutaan—apa yang dilaporkan pos luar negeri, bagaimana mereka memahami krisis, dan siapa yang dilibatkan—memberi keunggulan strategis: dari negosiasi gencatan senjata hingga sikap blok regional. Itulah mengapa kampanye ini memadukan tema politik aktual dengan teknik teknis yang cukup sederhana namun kredibel.

Cara Bertahan: langkah praktis yang relevan untuk lembaga diplomatik

  • Matikan makro secara default untuk dokumen yang berasal dari internet; manfaatkan Protected View dan Block all macros with notification.
  • Validasi asal-usul korespondensi diplomatik (DMARC/SPF/DKIM), dan jalur verifikasi kedua via hotline antar-misi sebelum membuka lampiran sensitif.
  • Pisahkan perangkat & akun tugas protokoler dari akun staf lokal/kontraktor; terapkan MFA dan kebijakan least privilege.
  • Deteksi perilaku: pantau proses Office yang menulis file executable, eksekusi tersembunyi (vbHide), dan perubahan registri/DNS yang tidak lazim.
  • Threat intel & hunting: korelasikan upaya login dari infrastruktur VPN yang dicurigai; blokir indikator kampanye yang dipublikasikan vendor tepercaya dan lakukan simulasi phishing tematik berkala.


Apa yang Perlu Diingat

  • Ini bukan serangan “satu-negara”: jaringnya luas, lintas benua, dan menargetkan institusi multilateral.
  • Sumber yang tampak sah jauh lebih berbahaya dibanding umpan generik—ketika aset diplomatik dibajak, filter teknis dan insting manusia sama-sama diuji.
  • Pola-pola 2023 kembali muncul, menandakan kontinuitas TTP aktor yang sama dan kegigihan strategi spionase yang pragmatis.

Cloudflare Tahan Serangan DDoS Rekor 11,5 Tbps & Tren “Hyper-Volumetric” 2025 — Serta Bedah RapperBot yang Membidik NVR

Image by <a href="https://pixabay.com/users/geralt-9301/?utm_source=link-attribution&utm_medium=referral&utm_campaign=image&utm_content=7082815">Gerd Altmann</a> from <a href="https://pixabay.com//?utm_source=link-attribution&utm_medium=referral&utm_campaign=image&utm_content=7082815">Pixabay</a>

Cloudflare Tahan Serangan DDoS Rekor 11,5 Tbps & Tren “Hyper-Volumetric” 2025 — Serta Bedah RapperBot yang Membidik NVR

Cloudflare mengumumkan di X bahwa dalam beberapa minggu terakhir mereka secara otonom memblokir ratusan serangan DDoS hyper-volumetric. Puncak terbesar mencapai 11,5 terabit per detik (Tbps) dengan 5,1 miliar paket per detik (Bpps). Polanya adalah UDP flood dengan sumber trafik yang utama berasal dari Google Cloud. Menariknya, seluruh gelombang puncak hanya sekitar 35 detik, namun cukup untuk menguji batas jaringan jika kontrol mitigasi tak siap atau tidak otomatis. Ini melanjutkan catatan sebelumnya pada pertengahan Mei 2025 ketika Cloudflare juga memblokir serangan 7,3 Tbps ke satu penyedia hosting.

Mengapa hyper-volumetric meroket di 2025? 

Cloudflare mencatat lonjakan tajam serangan L3/L4 yang melampaui 1 Bpps atau 1 Tbps: dari ~700 insiden pada Q1 2025 menjadi ~6.500 pada Q2 2025. Di sisi lain, serangan volumetrik bukan sekadar “banjir trafik”. Akamai mengingatkan bahwa pelaku sering menjadikannya “smoke screen”—ketika tim sibuk memadamkan volumetrik, penyerang melancarkan serangan multi-vektor untuk menyusup lebih jauh: mencuri data, transfer dana, mengambil alih akun bernilai tinggi, atau menanam akses lanjutan. Artinya, kecepatan pemulihan dan visibilitas lintas lapisan (L3/4 hingga aplikasi) menjadi krusial agar tak kehilangan jejak serangan utama.

Bedah kill chain RapperBot: dari NVR ke C2 via DNS TXT

Di saat skala volumetrik meningkat, RapperBot menegaskan bahwa botnet IoT masih menjadi mesin di balik banyak DDoS. Penelitian Bitsight menggambarkan rantai serangannya pada network video recorder (NVR) dan perangkat IoT lain:
  1. Initial access: eksploitasi path traversal pada web server NVR untuk membocorkan kredensial admin yang valid.
  2. Eksekusi: pelaku mendorong firmware palsu yang menjalankan serangkaian perintah bash guna mount share NFS jarak jauh (104.194.9[.]127), mengunduh payload RapperBot, lalu mengeksekusinya sesuai arsitektur CPU perangkat.
  3. C2 & penyamaran: malware mengambil DNS TXT dari domain yang sudah hard-coded (iranistrash[.]libre, pool.rentcheapcars[.]sbs) untuk memperoleh daftar IP command-and-control. Alamat C2 dipetakan ke domain C2 melalui DGA sederhana (kombinasi 4 domain, 4 subdomain, 2 TLD) dan di-resolve menggunakan DNS server hard-coded.
  4. Operasi: sambungan ke C2 dienkripsi; bot menerima perintah DDoS dan menscan internet mencari port terbuka untuk memperluas infeksi.
  5. Taktik bertahan: tanpa persistensi rumit—strateginya “scan & infect lagi”—karena perangkat lama yang rentan tetap banyak dan mudah ditemukan.
eekosistem NVR/IoT yang minim fitur keamanan standar (resource terbatas, update lambat) mendorong pelaku memilih teknik NFS mount yang “murah” namun efektif, asalkan exploit dirancang presisi terhadap merek/model target.

Dampak untuk organisasi & ops: kapasitas, visibilitas, disiplin egress

Lonjakan hyper-volumetric memaksa tim menilai ulang arsitektur ketahanan:

  • Anycast + autoscale scrubbing: pastikan lintasan BGP dan kapasitas scrubbing mampu menyerap puncak di atas 10 Tbps dan >5 Bpps—uji dengan table-top dan simulasi trafik.
  • Telemetri pps & rate limit L3/4: banyak tim fokus pada Gbps, padahal Bpps yang “membunuh” CPU router/firewall. Log pps, packet drops, dan SYN/UDP anomaly harus menjadi panel utama.
  • Playbook smoke screen: ketika volumetrik muncul, jalankan hunts paralel untuk anomali lain (auth, egress, DNS, data-exfil) agar tidak tertipu layar asap.
  • Higiene IoT/NVR: segmentasi VLAN, blok outbound NFS/DNS non-standar, nonaktifkan layanan tak perlu, dan audit firmware update path agar tak bisa disusupi.
  • Kontrol kredensial: cegah leak via path traversal dengan hardening web console, MFA, serta pembatasan akses manajemen hanya dari jaringan admin.

APT36 Serang Windows & BOSS Linux: .desktop Palsu, Poseidon, dan Perburuan 2FA (2025)

Image by <a href="https://pixabay.com/users/tumisu-148124/?utm_source=link-attribution&utm_medium=referral&utm_campaign=image&utm_content=3390518">Tumisu</a> from <a href="https://pixabay.com//?utm_source=link-attribution&utm_medium=referral&utm_campaign=image&utm_content=3390518">Pixabay</a>

Transparent Tribe (APT36) Serang Windows & BOSS Linux: File .desktop Palsu, Backdoor Poseidon, dan Perburuan 2FA

Komplotan advanced persistAPT36 Serang Windows & BOSS Linux: .desktop Palsu, Poseidon, dan Perburuan 2FAent threat Transparent Tribe (APT36) kembali menyasar lembaga pemerintah India dengan operasi lintas platform yang menyatukan spear-phishing, dropper Linux, dan pencurian kredensial bernuansa sosial rekayasa. Target tak hanya Windows; distribusi BOSS (Bharat Operating System Solutions) Linux ikut dibidik lewat shortcut .desktop yang disamarkan sebagai dokumen rapat. Begitu diklik, shortcut memicu skrip shell yang mengambil file heksadesimal dari server kendali securestore[.]cv, menyimpannya sebagai ELF berisi payload berbasis Go, lalu membuka PDF umpan di Google Drive melalui Firefox agar korban merasa semuanya normal. Pada saat yang sama, payload melakukan koneksi ke modgovindia[.]space:4000 untuk instruksi, unduh muat balik, dan eksfiltrasi data, kemudian menanam cron agar tetap hidup pasca reboot atau kill proses.

Jalur Masuk & Evolusi Teknik

Operasi diawali email pancingan dengan tema undangan rapat. Lampiran ditata agar terlihat seperti “Meeting_Ltr_ID1543ops.pdf.desktop”—ekstensi ganda yang menyamarkan executable sebagai PDF. Penggunaan .desktop mengakali kebiasaan pengguna Linux yang cenderung percaya pada ikon/dokumen kantor, sementara PDF umpan yang memang terbuka mengurangi kecurigaan. Di balik layar, dropper mengambil biner heksadesimal, men-decode, mengeksekusi, dan menaut ke C2 untuk menerima perintah lanjutan.

Kampanye ini juga memanfaatkan pemeriksaan anti-debugging/anti-sandbox sederhana: rekayasa untuk mengelabui emulator/analisis statis sehingga artefak berbahaya luput terdeteksi dalam pemeriksaan permukaan. Tujuan akhirnya adalah ketekalan (persistence) dan akses jangka panjang di lingkungan sensitif—bukan sekadar sekali aksi.

Poseidon: Backdoor untuk Akses Panjang atau Berulang


Analisis independen menunjukkan payload mengantarkan Poseidon, backdoor milik Transparent Tribe. Fungsinya mencakup inventarisasi sistem, pengumpulan data, perampasan kredensial, hingga potensi gerak lateral. Dengan infrastruktur C2 yang dikodekan langsung di biner dan penjadwalan via cron, operator bisa mempertahankan pijakan tanpa banyak kebisingan jaringan. Sub-klaster SideCopy yang kerap bekerja bareng APT36 memperkuat ekosistem alat dan taktik, memperluas jejak dari satu akun ke segmen jaringan yang lebih luas.

Garis Depan Sosial Rekayasa/Social Engineering: Password + 2FA


Di luar malware Linux, APT36 masih memeras nilai dari kampanye phishing kredensial yang meniru domain resmi dan menargetkan solusi 2FA Kavach. Alurnya sederhana namun efektif: korban mengetik email di halaman login tiruan, lalu diarahkan ke halaman kedua yang meminta kata sandi dan kode Kavach. Dengan domain tipografi-mirip (typosquatting) dan infrastruktur server yang dilaporkan berlokasi di Pakistan, pola ini konsisten dengan TTP kelompok—mengikis pertahanan berlapis organisasi lewat kesan “portal resmi”.

Lintasan Regional: SideWinder & Laman Mirip Resmi

Selaras dengan tren kawasan, kampanye APT lain SideWinder menyasar Bangladesh, Nepal, Pakistan, Sri Lanka, dan Turki menggunakan halaman tiruan di platform hosting populer seperti Netlify dan Pages.dev. Tema yang dipakai meniru Zimbra dan portal aman untuk dokumen/unggahan, menggiring korban agar menyerahkan kredensial di panel login palsu.

Apa Artinya untuk Indonesia?

Meski sasaran utama adalah lembaga India, bahaya limpahan (spillover) ke Indonesia nyata. Pertama, file .desktop bukan isu eksklusif; banyak distro Linux (termasuk yang dipakai tim riset, kampus, dan beberapa instansi) memanfaatkan launcher serupa. Kebijakan default beberapa desktop environment yang memudahkan menjalankan shortcut berisiko disalahgunakan jika higienitas lampiran email lemah. Kedua, phishing 2FA akan relevan di sini karena banyak institusi mengandalkan OTP berbasis aplikasi/SMS—mudah disadap lewat halaman berantai yang meminta password dan kode satu kali pakai secara berurutan. Ketiga, penggunaan Netlify/Pages.dev untuk hosting laman tiruan lazim di ekosistem lokal; nama domain yang terlihat kredibel sering menipu staff non-teknis.

Dampak praktisnya bukan sekadar kebocoran satu akun. Begitu akses awal berhasil, actor bisa merambah repositori kode, surel internal, sistem tiket, bahkan VDI/VPN; efek menular ini membuat insiden sulit diputus, apalagi jika persistence berbasis cron, systemd, dan kebijakan egress longgar.

Deteksi & Mitigasi

Organisasi di Indonesia perlu memperlakukan lampiran .desktop sebagai eksekutabel berbahaya secara default. Saring di email gateway dan EDR Linux; tampilkan peringatan eksplisit saat file mencoba jalan dari direktori Downloads. Terapkan kebijakan “buka sebagai teks” untuk tipe ini sehingga konten Exec= terlihat jelas, bukan langsung dieksekusi. Di sisi keaslian pengguna, pindahkan 2FA ke yang tahan-phishing (mis. FIDO2/WebAuthn), minimal tambahkan challenge kontekstual (lokasi/perangkat) dan rate-limit percobaan kode OTP. Untuk threat hunting, pantau:

  • Koneksi keluar ke modgovindia[.]space:4000 dan endpoint tak wajar yang berkait domain securestore[.]cv.
  • Aktivitas cron yang baru, binari ELF yang tiba-tiba muncul di direktori pengguna, serta eksekusi Firefox yang memanggil PDF eksternal segera setelah dropper berjalan.
  • Perubahan kebijakan desktop environment yang mengizinkan trust file launcher tanpa prompt.
Langkah tambahan yang sering dilupakan: kontrol egress di sisi jaringan (allow-list), code-signing internal untuk tooling, dan tata kelola domain (pemantauan typo-squatting terhadap merek .go.id dan .ac.id).

Analisis Redaksi & Kesimpulan

Analisis. Kekuatan kampanye APT36 bukan pada eksploitasi teknis canggih semata, melainkan orkestrasi realistis yang menempel pada kebiasaan kerja harian: undangan rapat, PDF dari Drive, 2FA yang sudah dianggap “aman”, dan shortcut yang tampak wajar. Perpaduan low-noise persistence (cron), decoy visual, serta phishing dua tahap membuat insiden tahan lama dan sulit didiagnosis. Menyasar BOSS Linux menunjukkan kesadaran konteks pelaku terhadap standar lingkungan target.

Kesimpulan. Untuk ekosistem Indonesia, pelajaran utamanya jelas: jangan mengandalkan OTP saja, naikkan ke 2FA tahan-phishing, keras-kan kebijakan execution pada desktop file, dan tighten egress. Edukasi sederhana—“PDF bukan selalu PDF”—sering lebih efektif daripada membeli alat baru. Jika kebiasaan klik lampiran tak berubah, kampanye seperti ini hanya butuh branding lokal untuk memberikan kesadaran kepada pengguna awam.

Favicon Hash & Page Similarity Fingerprinting: Cara Cepat Memetakan Aset Web (2025)

Favicon Hash & Page Similarity Fingerprinting

Teknik identifikasi cepat untuk memetakan aset web—etis, terukur, dan relevan di 2025

Dua teknik—favicon hash dan page similarity fingerprinting—mempercepat pemetaan aset (asset discovery), pengelompokan sistem serupa, hingga deteksi klon brand. Keduanya minim intrusif, hemat bandwidth, dan efektif saat dipadukan dengan recon pasif lain. Artikel ini merangkum konsep, alat, contoh kode, pitfall, serta langkah aman agar bisa langsung dipakai dalam pentest berizin atau operasi threat hunting tim biru (BlueTeam).

1) Intuisi & kegunaan

  • Pemetaan cepat: menemukan layanan/host yang kemungkinan dikelola tim yang sama (ikon & tampilan serupa).
  • Prioritisasi: kelompokkan target look-alike untuk efisiensi uji lebih lanjut.
  • Brand protection: deteksi domain phishing/typosquatting yang meniru tampilan.
  • Kontrol perubahan: pantau perubahan besar UI/ikon di estate produksi.

2) Favicon Hash: konsep & cara kerja

Ide dasar: ambil favicon.ico (atau ikon yang dideklarasikan), hitung hash tertentu (umumnya mmh3 untuk pencarian cepat atau SHA-256 untuk integritas), lalu cocokkan terhadap indeks internalmu atau mesin pencarian keamanan.

Sumber ikon
  • Tag HTML: <link rel="icon">, <link rel="shortcut icon">, <link rel="apple-touch-icon">
  • Jalur default: /<site-root>/favicon.ico
  • Variasi tema/dark-mode atau per-path favicon (beberapa framework)
Alur ringkas
  1. Request halaman utama → parse tag <link ... rel="icon">.
  2. Ambil setiap kandidat ikon (absolute/relative URL).
  3. Normalisasi: content-type, redirect, kompresi.
  4. Hash: mmh3 (khas untuk pencarian), simpan juga sha256.
  5. Simpan: host, path, size, mmh3, sha256, last-seen.
Contoh perintah (alat baris perintah):
# ProjectDiscovery httpx (mencari favicon & hash)
httpx -l hosts.txt -silent -favicon -hash -threads 50 -random-agent -retries 2 -timeout 10

Contoh Python (mmh3 + fallback favicon):
import requests, mmh3, base64, hashlib
from bs4 import BeautifulSoup
from urllib.parse import urljoin

def find_favicons(base_url):
    r = requests.get(base_url, timeout=10, headers={"User-Agent":"Mozilla/5.0"})
    r.raise_for_status()
    soup = BeautifulSoup(r.text, "html.parser")
    hrefs = [lnk.get("href") for lnk in soup.find_all("link") if lnk.get("rel") and "icon" in ",".join(lnk.get("rel")).lower()]
    cand = [urljoin(base_url, h) for h in hrefs if h] + [urljoin(base_url, "/favicon.ico")]
    seen = []
    for u in dict.fromkeys(cand):
        try:
            fr = requests.get(u, timeout=10, headers={"User-Agent":"Mozilla/5.0"})
            if fr.ok and fr.content:
                b64 = base64.b64encode(fr.content)
                mmh3_hash = mmh3.hash(b64)
                sha256 = hashlib.sha256(fr.content).hexdigest()
                seen.append({"url": u, "mmh3": mmh3_hash, "sha256": sha256, "bytes": len(fr.content)})
        except requests.RequestException:
            pass
    return seen

Penerapan praktis
  • Clustering: grupkan host dengan mmh3 sama → kandidat satu stack atau template.
  • Pivoting: query ke platform intel (mis. indeks internalmu) berdasarkan hash untuk menemukan host lain yang identik.
  • Anomali: perubahan tiba-tiba hash favicon di host kritikal → alert perubahan UI/tampilan.
Pitfall umum
  • Ikon bawaan framework/CDN dipakai banyak situs → false positive.
  • Favicon dynamic (dihasilkan JS atau berdasar tema) → hasil tidak konsisten.
  • Beberapa situs menaruh ikon per-subpath → cocokkan host+path agar akurat.
  • Soft 404 / halaman blok WAF yang mengembalikan ikon generik → verifikasi content-length & header.

3) Page Similarity Fingerprinting: teks, struktur, dan visual

Tujuan: menilai kemiripan halaman untuk mendeteksi domain kembar/klon UI, cluster aplikasi sejenis, atau watering hole.

3.1 Teks (SimHash / Jaccard)

  • SimHash: robust terhadap perubahan kecil; cocok untuk near-duplicate detection.
  • Jaccard n-gram: bandingkan shingle 3–5 kata dari teks yang sudah dibersihkan (hapus HTML/JS/CSS).
import re, requests
from bs4 import BeautifulSoup
from simhash import Simhash

def page_text_fingerprint(url):
    r = requests.get(url, timeout=10, headers={"User-Agent":"Mozilla/5.0"})
    soup = BeautifulSoup(r.text, "html.parser")
    for tag in soup(["script","style","noscript"]): tag.extract()
    text = re.sub(r"\s+"," ", soup.get_text(" ", strip=True)).lower()
    return Simhash(text).value  # integer 64-bit

def hamming_distance(a,b): return bin(a ^ b).count("1")

3.2 Fuzzy hash HTML (ssdeep/TLSH)

  • ssdeep: cepat, tetapi sensitif terhadap re-chunking.
  • TLSH: lebih stabil pada perubahan kecil; bagus untuk clustering halaman HTML.

3.3 Visual (pHash/aHash) dari screenshot

  • Ambil screenshot (mis. gowitness, aquatone) → hitung pHash.
  • Kuat untuk mendeteksi look-alike meski teks/DOM berubah tetapi tata letak/ikon konsisten.
Workflow kombinasi
  1. Ambil HTML & teks → SimHash.
  2. Ambil favicon → mmh3/sha256.
  3. Jika borderline, ambil screenshotpHash.
  4. Skor total = w1·(SimHash) + w2·(favicon match) + w3·(pHash). Tetapkan ambang.

4) Alur kerja

  1. Kumpulan target: hasil subdomain enum / ASN / passive DNS.
  2. Pengayaan pasif: jalankan httpx untuk favicon & header (rate-limit ketat).
  3. Fingerprint teks: jalankan crawler ringan → SimHash/TLSH.
  4. Clustering: gabungkan (favicon, SimHash, pHash) → kelompok kandidat.
  5. Triase: pilih kluster bernilai (login portal, admin UI, unknown brand usage).
  6. Validasi: cek ulang false positive, perhatikan CDN & template populer.
  7. Dokumentasi: catat bukti, jelaskan dampak bisnis, dan saran mitigasi.

5) Triase, kualitas data, dan kesalahan umum

  • CDN/template: favicon sama ≠ sistem sama. Cek title, server banner, wappalyzer hasil.
  • Variasi bahasa/tema: SimHash tetap mirip; gunakan ambang konservatif dan gabungkan fitur lain.
  • Halaman login generik: pHash mirip lintas produk; tambahkan sinyal unik (logo, teks legal).
  • Caching: set cache-busting saat validasi agar tidak memutuskan dari artefak lama.

6) Rekomendasi mitigasi (untuk pemilik layanan)

  • Gunakan favicon unik per produk/lingkungan untuk mengurangi korelasi tak diinginkan.
  • Terapkan brand monitoring terhadap domain look-alike (typosquatting).
  • Versikan UI/branding internal dengan pengendalian distribusi agar tidak “bocor” ke publik.
  • Harden halaman login: rate-limit, bot challenge, dan generic error.

7) Contoh hasil & pelaporan

Sajikan minimal: host, URL ikon, ukuran konten, hash (mmh3, sha256), fingerprint teks (SimHash/TLSH), cap waktu, dan screenshot ringkas.

Nilai dampak: korelasi aset yang membuka peta serangan lebih luas (mis. temuan serangkaian panel admin serupa di beberapa subdomain).

Rekomendasi: perubahan ikon/tema, segmentasi, serta brand takedown bila ditemukan domain peniru.