Spyware yang Didukung Negara Ditemukan dalam Aplikasi VPN Berbahaya yang Menargetkan Autentikasi dan Privasi Pengguna Global
TL;DR
Spyware yang Didukung Negara: Jebakan VPN yang Mengincar Privasi Anda
Ini adalah ironi yang nyata: Anda mengunduh VPN untuk mengamankan kehidupan digital Anda, namun justru memberikan kunci akses kepada badan intelijen yang didukung negara.
Investigasi baru-baru ini telah mengungkap serangkaian kampanye spionase terkoordinasi yang didukung negara. Para aktor ini tidak hanya meretas server; mereka memainkan permainan jangka panjang, menggunakan aplikasi VPN trojan untuk menyusup ke ponsel dan desktop Anda. Begitu mereka masuk, mereka tidak hanya mencuri kata sandi lalu pergi—mereka menetap, mengekstraksi pesan pribadi Anda, dan terus memantau jaringan Anda.
Penelitian dari ESET dan Recorded Future memberikan gambaran yang suram. Dengan menyamar sebagai alat privasi yang sah, aplikasi berbahaya ini melewati skeptisisme sehat yang biasanya diterapkan sebagian besar pengguna terhadap perangkat lunak yang tidak dikenal. Mereka tidak hanya mencuri data; mereka menyalahgunakan alat yang seharusnya kita gunakan untuk melindungi diri sendiri.
Strategi Bahamut: Android dalam Pengepungan
Grup APT Bahamut sangat aktif. Mereka tertangkap melakukan serangan terarah terhadap pengguna Android, mendistribusikan aplikasi "SecureVPN" palsu melalui situs web mandiri yang sama sekali tidak ada hubungannya dengan penyedia VPN resmi.
Menurut penelitian ESET, spyware ini pada dasarnya adalah "franken-app"—versi trojan dari alat sumber terbuka seperti OpenVPN atau SoftVPN. Yang membuatnya sangat berbahaya adalah kesabarannya. Kode berbahaya tersebut tetap tidak aktif, seperti sel tidur digital, sampai korban memasukkan kunci aktivasi tertentu. Ini adalah trik cerdas yang dirancang untuk melewati kotak pasir keamanan otomatis yang mungkin akan menandai aplikasi tersebut sebagai mencurigakan.
Setelah kunci tersebut dimasukkan, serangan pun dimulai. Spyware tersebut mendapatkan akses ke:
- Percakapan Pribadi Anda: Aplikasi ini menyalin log obrolan dari WhatsApp, Facebook Messenger, Signal, Viber, dan Telegram.
- Kehidupan Digital Anda: Aplikasi ini menarik daftar kontak, riwayat SMS, dan bahkan merekam panggilan Anda.
- Persistensi: ESET telah melacak setidaknya delapan versi berbeda dari malware ini. Mereka terus melakukan iterasi dan tidak berhenti.
TAG-182 dan Ancaman MarkiRAT
Sementara Bahamut menargetkan berbagai macam pengguna, grup yang terkait dengan Iran yang dikenal sebagai TAG-182 jauh lebih fokus. Mereka menggunakan trojan akses jarak jauh yang disebut "MarkiRAT" untuk memburu jurnalis dan pembangkang berbahasa Persia.
Sebagaimana dijelaskan dalam analisis Recorded Future, metode penyebarannya tergolong sederhana: media sosial. Mereka mempromosikan aplikasi seperti "Pis2ray VPN" dan "YESHICA YEPlayer" langsung melalui Instagram.
MarkiRAT adalah perangkat lunak yang canggih. Ia diprogram untuk memindai perangkat yang menggunakan tata letak papan ketik bahasa Persia, memastikan mereka hanya mengenai target yang diinginkan. Untuk tetap tersembunyi, ia mengadopsi nama "svehost.exe"—teknik "living off the land" klasik yang dimaksudkan untuk meniru proses Windows "svchost.exe" yang sah. Lebih buruk lagi, ia mengeksploitasi Windows Background Intelligent Transfer Service (BITS) untuk menyelundupkan data keluar dari mesin Anda, sebuah langkah yang sering kali tidak terdeteksi oleh perangkat lunak antivirus tradisional.
| Aktor Ancaman | Nama Aplikasi Berbahaya | Target Utama | Kemampuan Utama |
|---|---|---|---|
| Bahamut | SecureVPN (Palsu) | Pengguna Android | Intersepsi Pesan/Obrolan |
| TAG-182 | Pis2ray / YEPlayer | Penutur Bahasa Persia | MarkiRAT / Penyalahgunaan BITS |
Di Luar Aplikasi: Perang Infrastruktur
Sementara pengguna seluler menjadi target aplikasi, ada permainan yang jauh lebih besar dan berbahaya yang dimainkan di tulang punggung internet. Koalisi global badan keamanan siber telah mengeluarkan peringatan tentang kampanye yang didukung negara—sebagian besar berasal dari Tiongkok—yang menargetkan perangkat keras yang menjalankan internet.
Sejak 2021, para aktor ini secara sistematis mengompromikan router backbone, provider edge (PE), dan customer edge (CE). Dengan menguasai perangkat ini, mereka tidak hanya mengawasi satu orang; mereka mendapatkan titik pantau ke seluruh jaringan pemerintah, militer, dan telekomunikasi. Ini bukan sekadar "meretas"—ini adalah posisi strategis. Beberapa entitas, termasuk Sichuan Juxinhe Network Technology dan Beijing Huanyu Tianqiong Information Technology, telah dikaitkan dengan upaya ini.
Industri telah mengidentifikasi beberapa kelompok aktivitas, termasuk Salt Typhoon, OPERATOR PANDA, RedMike, UNC5807, dan GhostEmperor. Mereka bukan amatir; mereka adalah operasi tingkat negara dengan sumber daya untuk mengompromikan infrastruktur fisik web.
Cara Melawan
Munculnya ancaman yang "terlihat sah" ini mengubah lanskap keamanan. Ketika penyerang menggunakan alat yang seharusnya menjaga kita tetap aman, aturan praktis lama tidak selalu berlaku.
Penyalahgunaan Windows BITS adalah contoh sempurna mengapa deteksi berbasis tanda tangan sederhana mulai gagal. Jika proses sistem yang melakukan pekerjaan berat, antivirus Anda mungkin hanya mengabaikannya. Pembela perlu mencari perilaku anomali, bukan hanya file berbahaya yang sudah dikenal.
Jika Anda khawatir dengan ancaman ini, berikut cara memperketat pertahanan Anda:
- Tetap pada Sumber Resmi: Jika tidak ada di App Store atau Google Play resmi, jangan sentuh. Jika Anda menemukan "VPN" melalui tautan acak di Instagram atau situs web mencurigakan, perlakukan itu seperti granat aktif.
- Audit Perangkat Keras Anda: Jika Anda mengelola jaringan perusahaan, perhatikan konfigurasi router Anda. Cari perubahan yang tidak sah atau pola lalu lintas yang aneh di provider edge.
- Tingkatkan Pemantauan Anda: Beralihlah ke solusi EDR (Endpoint Detection and Response) yang dapat mendeteksi penyalahgunaan layanan sistem seperti BITS. Anda perlu tahu kapan proses sistem mulai bertindak tidak wajar.
- Kunci Akses: Berhenti mengandalkan kata sandi faktor tunggal untuk perangkat keras jaringan. Gunakan autentikasi multi-faktor di mana saja, dan batasi akses administratif seminimal mungkin.
Kampanye ini bukanlah fase yang lewat begitu saja. Ini adalah fitur permanen dari kenegaraan modern. Baik mereka mengejar pesan pribadi Anda melalui VPN palsu atau mengompromikan router yang mengarahkan lalu lintas global, tujuannya sama: pengawasan yang gigih dan jangka panjang. Baik Anda berada di AS, Australia, Inggris, atau di mana pun, ancaman itu nyata—dan dirancang untuk tidak terlihat. Tetaplah waspada.
