Garis Depan Baru Ransomware: Mengapa VPN Perusahaan Sedang Terkepung
TL;DR
Garis Depan Baru Ransomware: Mengapa VPN Perusahaan Sedang Terkepung
Perimeter digital kini mulai runtuh, dan para pelakunya tidak hanya mengetuk pintu—mereka langsung masuk melalui pintu depan. Sepanjang akhir tahun 2025, badan keamanan siber global dan pemburu ancaman telah menyaksikan eskalasi besar dalam serangan yang ditargetkan terhadap gateway VPN perusahaan dan infrastruktur edge. Kita tidak berbicara tentang gangguan acak di sini. Ini adalah operasi bedah berisiko tinggi yang memanfaatkan kombinasi kelemahan remote code execution (RCE) kritis, authentication bypass, dan serangan brute-force yang membuat pertahanan tradisional tampak seperti perisai kertas.
Lanskap saat ini adalah ladang ranjau. Vendor besar—Cisco, Fortinet, Palo Alto Networks—berada dalam bidikan. Para peneliti telah melacak kampanye ini ke kombinasi berbahaya antara kelompok APT yang didukung negara dan sindikat ransomware. Benang merahnya? Mereka semua sangat mengandalkan taktik otomatis berbasis AI untuk mencari dan mengeksploitasi kerentanan bahkan sebelum tim keamanan Anda sempat membaca catatan pembaruan (patch notes).
Demam Emas Kerentanan
Gelombang serangan saat ini bukan hanya soal membobol masuk; ini tentang mempersenjatai alat yang seharusnya menjaga keamanan jaringan. Jika Anda menjalankan sistem ini, kerentanan berikut mungkin membuat tim SOC Anda terjaga di malam hari:
- CVE-2025-20393 (Cisco AsyncOS): Ini adalah mimpi buruk. Dengan skor CVSS 10.0, ini adalah kartu "bebas penjara" utama bagi penyerang. Kerentanan ini memengaruhi Secure Email Gateways, memungkinkan eksekusi kode jarak jauh. Kami telah melihat kelompok APT berbasis di Tiongkok, UAT-9686, menggunakan ini untuk menyebarkan backdoor 'AquaShell', memastikan mereka tetap berada di jaringan Anda jauh setelah pelanggaran awal.
- CVE-2025-59718 dan CVE-2025-59719 (Fortinet): Celah ini secara efektif melepas kunci pintu, memungkinkan penyerang melewati autentikasi pada perangkat Fortinet. Ini adalah rute langsung ke firewall dan gateway VPN yang seharusnya tidak dapat diakses.
- Kampanye 'FortiBleed': Ini bukan sekadar kerentanan; ini adalah kampanye berskala penuh. Badan-badan global telah membunyikan alarm, mencatat bahwa penyerang menggunakan ini untuk memanen kredensial dalam skala besar.
Gambar milik Rod Trent's Substack
Skalanya sangat mencengangkan. Kami melihat kampanye brute-force yang menggunakan lebih dari 10.000 alamat IP unik secara bersamaan untuk menghantam gateway Cisco dan Palo Alto Networks. Ini adalah permainan angka, dan penyerang sedang menang. Perangkat keamanan gateway kini menyumbang 17% dari semua kerentanan yang dieksploitasi. Perimeter tidak hanya tipis; ia secara efektif transparan.
Pergeseran Taktis: Kenormalan Baru
Jika Anda melihat data dari paruh pertama tahun 2025, gambaran yang muncul semakin suram. Pengungkapan CVE melonjak 16% dibandingkan tahun sebelumnya, dengan 161 kerentanan yang dieksploitasi secara aktif di lapangan. Hal yang paling mengejutkan? Hampir 69% dari eksploitasi tersebut tidak memerlukan autentikasi sama sekali. Anda tidak memerlukan kata sandi jika pintunya sudah lepas dari engselnya.
Sebagaimana didokumentasikan dalam tren malware dan kerentanan H1 2025, pergeseran taktisnya jelas: penyerang beralih ke Remote Access Trojans (RAT) serbaguna seperti AsyncRAT, XWorm, dan Remcos. Mereka juga menjadi kreatif dengan serangan rantai pasokan, seperti kampanye PyStoreRAT, yang menargetkan profesional TI secara langsung untuk mendapatkan pijakan di perusahaan.
| Jenis Vektor | Target Utama | Atribut Kunci |
|---|---|---|
| Remote Code Execution | Cisco AsyncOS | 10.0 CVSS / Terkait APT |
| Authentication Bypass | Fortinet Gateways | Paparan kredensial |
| Brute-Force | VPN Gateways | 10.000+ IP unik |
| Rantai Pasokan | Profesional TI | Penyebaran PyStoreRAT |
Cara Mempertahankan Garis Depan
Mempertahankan diri dari kekacauan ini membutuhkan lebih dari sekadar pembaruan firewall. Ini membutuhkan pergeseran mendasar dalam cara kita memandang kepercayaan. Badan-badan global mendesak organisasi untuk menyadari risiko paparan kredensial yang melekat dalam kampanye seperti FortiBleed, dan pesannya sederhana: lakukan patching dengan cepat atau tanggung akibatnya.
Profesional keamanan harus sangat waspada terhadap peringatan infrastruktur Cisco dan Fortinet terbaru. Karena eksploitasi ini sering kali melewati autentikasi sepenuhnya, perimeter Anda pada dasarnya hanyalah saran, bukan penghalang. Jika Anda ingin memperkuat pertahanan, mulailah dari sini:
- Patching tidak bisa ditawar: Jika Anda belum menangani CVE-2025-20393, CVE-2025-59718, dan CVE-2025-59719, berhentilah membaca dan lakukan sekarang.
- Hapus kata sandi statis: Beralihlah ke MFA yang tahan phishing. Jika akses VPN Anda masih mengandalkan kata sandi saja, Anda secara efektif mengundang kelompok-kelompok ini masuk.
- Segmentasikan jaringan Anda: Jika mereka berhasil masuk ke gateway, jangan biarkan mereka mencapai aset berharga Anda. Batasi pergerakan lateral dengan membatasi infrastruktur kritis Anda.
- Perhatikan perilaku, bukan hanya tanda tangan: Gunakan alat EDR untuk memburu jejak spesifik RAT seperti AsyncRAT atau backdoor AquaShell.
Integrasi AI ke dalam kampanye ransomware ini telah mengubah ancaman yang bergerak lambat menjadi tabrakan berkecepatan tinggi. Penyerang mempersenjatai kerentanan dengan kecepatan yang tidak dapat diimbangi oleh patching manual. Meskipun kerangka kerja serangan standar berguna untuk memetakan ancaman ini, efektivitasnya hanya sebaik waktu respons tim yang menggunakannya.
Kenyataannya adalah perimeter telah larut. Antara penipuan keuangan yang mengutamakan seluler dan munculnya serangan relai yang canggih, "di dalam" dan "di luar" menjadi perbedaan yang tidak berarti. Kita berada di era keamanan yang berpusat pada identitas. Jika Anda tidak memvalidasi setiap upaya koneksi ke VPN Anda secara ketat, Anda sudah tertinggal. Tetap waspada, tetap paranoid, dan jaga agar patch Anda tetap mutakhir—alternatifnya jauh lebih mahal.
