Sebuah kelompok peretas yang terkenal dengan aktivitas cryptojacking, Kinsing, dilaporkan telah melancarkan gelombang serangan siber skala besar yang menargetkan komputer-komputer di Rusia. Tujuan utama dari serangan ini adalah untuk membajak sumber daya komputasi korban guna melakukan penambangan mata uang kripto secara ilegal.

Insiden ini menjadi studi kasus penting yang menunjukkan bagaimana kelompok kejahatan siber dapat memperluas wilayah operasinya dan bagaimana celah keamanan yang sudah lama diketahui masih menjadi pintu masuk yang efektif jika tidak ditangani dengan benar.

Profil dan Taktik Serangan Grup Kinsing

Laporan terbaru dari firma keamanan siber F6 yang berbasis di Rusia menyebutkan bahwa serangan ini dimulai sejak bulan April 2025. Para penyerang menginfeksi perangkat korban dengan malware Kinsing dan XMRig, dua perangkat lunak yang umum digunakan untuk menambang mata uang kripto Monero.

Siapakah Kinsing?

Kinsing, yang juga dikenal dengan nama alias H2Miner dan Resourceful Wolf, telah aktif sejak tahun 2019. Kelompok ini adalah salah satu aktor yang paling produktif dalam aktivitas cryptojacking—sebuah praktik di mana peretas secara diam-diam menggunakan perangkat korban untuk menambang cryptocurrency tanpa izin. Berbeda dengan serangan yang mengandalkan phishing, taktik utama Kinsing adalah memindai jaringan perusahaan untuk mencari kerentanan (vulnerabilities) pada perangkat lunak yang digunakan secara luas.

Vektor Serangan: Eksploitasi Celah Keamanan Lawas

Dalam kampanye serangan terbaru ini, para pelaku mencoba mengeksploitasi CVE-2017-9841. Ini adalah sebuah celah keamanan kritis pada PHPUnit, sebuah framework pengujian PHP yang sangat populer.

Kerentanan ini sebenarnya telah mendapatkan perbaikan (patch) pada tahun 2017, namun masih banyak ditemukan pada sistem-sistem yang sudah usang dan tidak diperbarui. Celah ini memungkinkan peretas untuk mengeksekusi kode dari jarak jauh (remote code execution – RCE) dan mengambil kendali penuh atas server yang rentan.

Ekspansi Operasi ke Rusia dan Konteks Regional

Salah satu temuan paling signifikan dari laporan F6 adalah pergeseran geografis dari operasi Kinsing.

Pergeseran Geografis Operasi Kinsing

Secara historis, sebagian besar serangan Kinsing tercatat terjadi di Amerika Utara, Eropa Barat, dan Asia. Menurut F6, ini adalah pertama kalinya mereka mengamati aktivitas skala besar dari kelompok ini di Rusia. Tidak ditemukan bukti bahwa kelompok ini menargetkan perusahaan di negara lain di Eropa Timur dalam kampanye yang sama.

Tren Peningkatan Serangan Cryptomining di Rusia

Penemuan ini terjadi di tengah meningkatnya kampanye cryptomining di Rusia secara umum. Beberapa insiden lain yang tercatat baru-baru ini antara lain:

• Juni 2025: Kelompok lain yang dikenal sebagai Rare Werewolf menyebarkan XMRig pada ratusan komputer di Rusia, termasuk di perusahaan industri dan sekolah teknik, dengan infeksi tambahan dilaporkan di Belarus dan Kazakhstan.
• September 2025: Firma keamanan siber Rusia, F.A.C.C.T., mendokumentasikan kampanye terpisah yang mengirimkan XMRig ke bisnis-bisnis di Rusia melalui balasan email otomatis (auto-replies) yang berbahaya.

Implikasi dan Pandangan Ahli

Serangan oleh Kinsing ini menggarisbawahi sifat ancaman siber yang tidak mengenal batas. Vladislav Kugan, seorang analis dari unit intelijen ancaman di F6, menyatakan, “Kasus serangan Kinsing terhadap perusahaan-perusahaan Rusia menyoroti perlunya bertahan melawan ancaman siber yang bahkan jarang terjadi dan tidak biasa, karena kelompok kriminal tidak dibatasi oleh industri atau geografi dan dapat menyerang pengguna di mana saja di dunia.”

Kesimpulan

Ekspansi operasi kelompok cryptojacking Kinsing ke Rusia, dengan memanfaatkan celah keamanan yang berusia delapan tahun, merupakan sebuah peringatan keras bagi semua organisasi. Insiden ini membuktikan bahwa tidak ada wilayah geografis yang kebal dari ancaman siber dan bahwa praktik kebersihan keamanan dasar, seperti manajemen patch yang rutin, tetap menjadi lapisan pertahanan yang paling krusial. Serangan ini juga merupakan bagian dari tren yang lebih besar di mana aktivitas cryptomining ilegal terus meningkat, mengancam kinerja sistem dan menyebabkan kerugian finansial tersembunyi bagi para korban.

Poin Kunci Pembelajaran

• Bahaya Sistem yang Tidak Diperbarui (Unpatched): Eksploitasi CVE-2017-9841 menunjukkan bahwa kerentanan lama yang sudah diketahui tetap menjadi vektor serangan yang sangat efektif jika organisasi gagal menerapkan patch keamanan secara teratur.
• Cryptojacking sebagai Ancaman Tersembunyi: Berbeda dengan ransomware yang dampaknya langsung terasa, cryptojacking dirancang untuk berjalan secara diam-diam. Ancaman ini mencuri sumber daya komputasi (daya CPU, listrik) tanpa sepengetahuan korban, yang berujung pada penurunan performa sistem dan peningkatan biaya operasional.
• Ancaman Siber Tidak Mengenal Batas Geografis: Ekspansi kelompok seperti Kinsing ke wilayah baru menegaskan kembali sifat ancaman siber yang global. Asumsi bahwa suatu wilayah “aman” dari kelompok peretas tertentu sudah tidak lagi valid.
• Pentingnya Vulnerability Management: Kasus ini menyoroti bahwa banyak kelompok penyerang lebih memilih untuk mengeksploitasi kelemahan teknis pada perangkat lunak secara langsung daripada mengandalkan rekayasa sosial seperti phishing.