Spyware yang Didukung Negara Ditemukan dalam Aplikasi VPN Berbahaya yang Menargetkan Otentikasi dan Privasi Pengguna Global
TL;DR
Spyware yang Didukung Negara Ditemukan dalam Aplikasi VPN Berbahaya yang Menargetkan Otentikasi dan Privasi Pengguna Global
Ada babak baru yang kelam dalam dunia spionase siber. Sebuah kampanye canggih telah muncul, mengubah alat yang digunakan orang untuk melindungi privasi mereka—VPN—menjadi jebakan digital. Para peneliti telah mengaitkan operasi ini dengan aktor ancaman yang didukung negara Iran yang dikenal sebagai TAG-182, yang saat ini sibuk mengumpulkan data sensitif dari pengguna berbahasa Persia di seluruh dunia.
Mereka bukan sekadar peretas biasa. Ini adalah operasi pengawasan yang ditargetkan dan persisten. Dengan menyamar sebagai alat privasi yang sah, aplikasi berbahaya ini secara efektif mengubah ponsel pengguna menjadi alat penyadap pribadi, menyalurkan data otentikasi, log komunikasi, dan metadata perangkat langsung kembali ke aktor ancaman tersebut.
Mekanisme Pengawasan: MarkiRAT
Mesin di balik operasi ini adalah trojan yang dijuluki MarkiRAT. Menurut penelitian dari Insikt Group milik Recorded Future, malware ini adalah penyedot data. Begitu pengguna menginstal salah satu VPN palsu tersebut—terutama "Pis2ray VPN" atau "YESHICA YEPlayer"—aplikasi tersebut memicu proses latar belakang yang dirancang untuk menyalin segalanya: pesan SMS, daftar kontak, log panggilan, dan banyak lagi.
Untuk tetap tersembunyi, malware ini menggunakan trik cerdas dengan menyalahgunakan Windows Background Intelligent Transfer Service (BITS). BITS adalah komponen sistem sah yang ditujukan untuk transfer file di latar belakang, namun di sini, layanan tersebut dipersenjatai untuk mempertahankan persistensi jangka panjang. Dengan menumpang pada layanan ini—teknik yang dikategorikan di bawah MITRE ATT&CK sebagai T1197—penyerang dapat mengeksfiltrasi data dalam semburan kecil yang terputus-putus. Ini adalah langkah cerdas; hal ini menjaga lalu lintas tetap cukup tenang agar tidak terdeteksi oleh sebagian besar perangkat lunak keamanan standar.
Strategi Penargetan dan Distribusi
Kampanye ini sangat terukur. Malware diprogram untuk mencari perangkat yang dikonfigurasi dengan tata letak papan ketik bahasa Persia (kode 0x0429). Dengan memfilter pengaturan regional khusus ini, aktor ancaman memastikan mereka tidak membuang sumber daya pada target yang salah. Mereka memburu jurnalis, pembangkang, dan aktivis.
Sebagaimana dicatat oleh Tech Times, strategi distribusi mengandalkan rekayasa sosial gaya lama. Mereka menggunakan Instagram, menjanjikan akses internet tanpa batas kepada pengguna yang sangat ingin melewati penyensoran lokal. Ini adalah ironi yang kejam: pengguna menginstal aplikasi ini untuk mendapatkan kebebasan, namun justru menyerahkan kunci kehidupan digital mereka.
| Fitur | Deskripsi |
|---|---|
| Aktor Ancaman | TAG-182 (Didukung negara Iran) |
| Malware Utama | MarkiRAT |
| Bahasa Target | Persia (Tata letak 0x0429) |
| Distribusi | Media sosial (Instagram) |
| Persistensi | Windows BITS (T1197) |
Respons Regulasi Global terhadap Infrastruktur VPN Berbahaya
Sementara TAG-182 berfokus pada spionase, komunitas internasional yang lebih luas sedang berupaya memberantas infrastruktur di balik VPN kriminal ini. Kantor Pengawasan Aset Luar Negeri (OFAC) Departemen Keuangan AS baru-baru ini menjatuhkan sanksi pada layanan bernama 1VPNS, beserta administratornya, Dmytro Rashevskyi, dan seorang pengembang bernama Yegeniy Vladimirovich Silayev.
Hal ini menyusul pembongkaran yang didukung FBI pada Mei 2026 yang melumpuhkan 1VPNS. Penyelidikan tersebut menggambarkan situasi yang suram: layanan tersebut bukan hanya untuk pengguna biasa; layanan itu menjadi pilihan utama bagi kelompok ransomware untuk menyembunyikan jejak mereka, menyebarkan muatan (payload), dan memindahkan data curian. Silayev, khususnya, ditandai karena mengembangkan "cryptors"—alat khusus yang membungkus malware dalam selubung digital untuk melewati deteksi antivirus.
Ini adalah tanda yang jelas bahwa industri VPN menjadi medan pertempuran. Meskipun penyedia yang sah adalah penyelamat bagi privasi, munculnya opsi "malicious-as-a-service" berarti saran lama—"gunakan saja VPN"—tidak lagi cukup. Anda harus tahu VPN mana yang Anda gunakan.
Mitigasi dan Pertimbangan Keamanan
Jika Anda ingin melewati pembatasan internet, Anda harus waspada. Jika Anda mengunduh VPN dari iklan Instagram atau tautan acak, Anda kemungkinan besar sedang berjalan menuju jebakan. Toko aplikasi resmi memang tidak sempurna, tetapi jauh lebih aman daripada mengunduh APK secara langsung.
Cara agar tetap aman:
- Tetap pada Sumbernya: Hanya unduh perangkat lunak dari toko resmi atau situs web pengembang terverifikasi. Jika terasa mencurigakan, maka memang mencurigakan.
- Perhatikan Layanan Anda: Jika Anda paham teknologi, pantau layanan tingkat sistem seperti BITS. Jika Anda melihat aktivitas yang tidak biasa, saatnya untuk menyelidiki.
- Ketahui Pengaturan Anda: Jika Anda berada di wilayah berisiko tinggi, berhati-hatilah terhadap aplikasi yang secara khusus menargetkan pengaturan bahasa atau papan ketik Anda.
- Lapisi Keamanan Anda: Gunakan perlindungan titik akhir (endpoint) yang kuat. Alat EDR modern semakin baik dalam mendeteksi anomali perilaku yang menyertai alat pengawasan persisten.
Batas antara spionase yang didukung negara dan kejahatan siber biasa semakin kabur. Ketika penyerang menyembunyikan aktivitas mereka dalam proses Windows yang sah, perilaku "normal" komputer Anda menjadi kedok sempurna untuk pencurian.
Sejarah telah menunjukkan kepada kita bahwa ini bukan taktik baru; kampanye seperti operasi Ferocious Kitten membuktikan bertahun-tahun yang lalu bahwa ini adalah strategi jangka panjang yang sabar. Bagi mereka yang hidup di bawah pembatasan digital yang berat, satu-satunya pertahanan nyata adalah kombinasi antara skeptisisme dan ketergantungan pada alat keamanan yang transparan, sumber terbuka, dan terverifikasi. Jangan biarkan alat "privasi" menjadi beban terbesar Anda.
