Tim Tanggap Darurat Komputer Ukraina (CERT-UA) baru-baru ini mengungkap metode pencurian data cepat yang digunakan oleh kelompok APT UAC-0010 atau lebih dikenal sebagai Armageddon/Gamaredon. Dalam sebuah laporan yang dirilis pada 13 Juli 2023, CERT-UA mengungkap bahwa kelompok ini terdiri dari mantan anggota Layanan Keamanan Ukraina (SBU) yang membelot ke pihak FSB Rusia setelah aneksasi Crimea pada 2014.

Tujuan dan Fokus Operasi Gamaredon

Gamaredon bertujuan melakukan spionase siber terhadap kekuatan keamanan Ukraina, dengan bukti bahwa kelompok ini juga terlibat dalam serangan destruktif terhadap infrastruktur informasi. Target utama mereka adalah:

• Komputer pemerintah
• Sistem komunikasi publik dan militer

Mereka menggunakan taktik Compromised account dan mendistribusikan malware melalui berbagai saluran, termasuk email dan pesan Telegram, WhatsApp, serta Signal.

Malware GammaSteel dan Proses Eksfiltrasi Data Cepat

Salah satu tool utama Gamaredon adalah malware GammaSteel. Malware ini dikenal sangat efektif dalam mengekstrak file dalam waktu singkat, antara 30 hingga 50 menit. Fokus utama eksfiltrasi adalah dokumen dengan ekstensi spesifik yang mengandung informasi sensitif.

• Banyaknya File Berbahaya: Setelah infeksi awal, komputer korban dapat berisi 80 hingga 120 file berbahaya selama seminggu.
• Kemungkinan Reinfection: Jika ada file terinfeksi yang tertinggal saat proses disinfeksi, infeksi ulang sangat mungkin terjadi.

Metode Infeksi dan Penggunaan PowerShell

Metode kompromi awal Gamaredon melibatkan pengiriman file arsip berisi HTM atau HTA. Ketika file tersebut dibuka, rantai infeksi dimulai, memungkinkan penyerang untuk mendapatkan akses.

Gamaredon juga memanfaatkan beberapa tool dan teknik:

• PowerShell untuk mencuri dokumen dan menjalankan perintah dari jarak jauh.
• Anydesk untuk akses jarak jauh interaktif pada sistem korban.

Adaptasi Terhadap Langkah Pertahanan

Kelompok ini sangat adaptif dalam menghadapi langkah-langkah pertahanan. Gamaredon menggunakan script PowerShell untuk melewati autentikasi dua faktor (2FA) dan secara berkala mengganti alamat IP untuk menghindari deteksi.

Langkah Pertahanan dari CERT-UA dan IoC

CERT-UA menyediakan daftar indikator kompromi (IoC) yang bisa digunakan untuk mendeteksi aktivitas Gamaredon. Selain itu, CERT-UA mendesak agar personel militer dan pengguna di luar perimeter keamanan menginstal perangkat lunak Endpoint Detection and Threat Response (EDTR) untuk meminimalkan risiko, terutama bagi sistem yang menggunakan terminal Starlink untuk akses internet.

Peningkatan Serangan pada 2023

Simantec melaporkan pada Juni 2023 bahwa antara Januari hingga April 2023, serangan Gamaredon terhadap Ukraina semakin intensif. Temuan ini memperkuat bukti bahwa kelompok ini terus aktif dan menjadi ancaman signifikan bagi keamanan Ukraina.

Gamaredon adalah contoh Advanced Persistent Threat (APT) tingkat tinggi yang memadukan teknik spionase, otomatisasi eksfiltrasi data, dan social engineering. Beberapa poin penting dari kasus ini:

1. Eksfiltrasi Data Cepat dan Efisien
   Penggunaan malware GammaSteel memungkinkan pencurian data dalam hitungan menit, mempersulit organisasi untuk merespons tepat waktu.
2. Pemanfaatan Social Engineering
   Pengiriman arsip berisi file HTM atau HTA memperlihatkan bagaimana penyerang memanfaatkan rasa ingin tahu dan kepercayaan korban untuk memulai infeksi.
3. Penggunaan PowerShell dan Remote Access Tools
   PowerShell dan Anydesk digunakan untuk pengendalian penuh sistem dari jarak jauh, membuat penyerang dapat beroperasi tanpa deteksi.
4. Adaptasi Terhadap Pertahanan
   Kemampuan Gamaredon untuk mengubah IP dan mem-bypass 2FA menunjukkan betapa adaptifnya mereka dalam menghadapi langkah-langkah keamanan.

Rekomendasi untuk Memitigasi Risiko

1. Penerapan Kebijakan Zero Trust
   Seluruh akses, termasuk akses internal, harus melalui verifikasi ketat.
2. Penggunaan EDTR Software
   Instalasi software EDTR penting untuk mendeteksi dan menghentikan ancaman secara real-time, terutama untuk perangkat di luar perimeter keamanan.
3. Pemantauan Aktivitas PowerShell
   Aktivitas PowerShell harus diawasi secara ketat untuk mengidentifikasi perintah yang mencurigakan.
4. Pelatihan Kesadaran Keamanan
   Pengguna dan personel militer harus diberikan pelatihan tentang phishing dan teknik social engineering untuk meminimalkan risiko.

Gamaredon menggambarkan kompleksitas ancaman siber modern, di mana teknik spionase digabungkan dengan serangan otomatis dan adaptif. Serangan ini menunjukkan bahwa malware tidak hanya menjadi tool pencurian informasi, tetapi juga menjadi senjata yang digunakan untuk melemahkan sistem komunikasi dan keamanan negara.

Kolaborasi antar lembaga dan investasi dalam teknologi deteksi ancaman canggih sangat penting untuk menghadapi kelompok seperti Gamaredon. Selain itu, organisasi dan individu harus terus meningkatkan kewaspadaan dan kemampuan untuk menghadapi serangan yang semakin kompleks.

Studi Kasus: Gamaredon – Ancaman Spionase Siber di Ukraina

Latar Belakang:
Pada 2023, CERT-UA (Tim Tanggap Darurat Komputer Ukraina) berhasil mengungkap aktivitas Gamaredon (UAC-0010), kelompok APT yang terdiri dari mantan anggota Layanan Keamanan Ukraina (SBU) yang membelot ke FSB Rusia. Kelompok ini menjalankan kampanye spionase siber dengan fokus pada sistem pemerintahan dan komunikasi militer di Ukraina. Mereka menggunakan teknik phishing dan remote access yang canggih untuk menyusup dan mengekstrak data penting.

Alur Serangan: Langkah-Langkah yang Dilakukan Gamaredon

1. Infeksi Awal melalui Phishing
   • Penyerang mengirimkan arsip HTM/HTA melalui email yang tampak seperti komunikasi resmi atau pesan terpercaya.
   • Ketika file dibuka, malware diaktifkan dan mulai menginfeksi perangkat korban.
2. Instalasi dan Kontrol Remote
   • Malware GammaSteel diinstal untuk mengekstraksi file sensitif dalam waktu 30-50 menit.
   • Anydesk digunakan untuk kontrol jarak jauh yang memungkinkan interaksi langsung dengan sistem korban.
3. Eksfiltrasi Data
   • Data dengan ekstensi tertentu diekstrak dan dikirim ke server penyerang menggunakan PowerShell untuk menjalankan perintah dari jarak jauh.
4. Evasion dan Persistensi
   • Penyerang mengganti alamat IP secara berkala dan menggunakan PowerShell untuk melewati otentikasi dua faktor (2FA), membuat mereka sulit terdeteksi.
   • File berbahaya tetap ada di sistem selama satu minggu, meningkatkan risiko infeksi ulang jika tidak sepenuhnya dihapus.

Pembelajaran dari Kasus Gamaredon

1. Ancaman dari Social Engineering dan Phishing
   • Kasus ini menegaskan betapa efektifnya social engineering dalam menipu korban, bahkan di sektor dengan kesadaran keamanan tinggi. Arsip HTM/HTA yang terlihat tidak mencurigakan dapat memicu rantai infeksi yang berbahaya.
2. Adaptasi dan Automasi Penyerang
   • Gamaredon menggunakan otomatisasi eksfiltrasi data, yang mempersingkat waktu bagi korban untuk merespons. Ini menunjukkan pentingnya memiliki monitoring real-time untuk deteksi dini.
3. Eksploitasi Remote Access Tools
   • Penggunaan Anydesk dan PowerShell memperlihatkan bagaimana penyerang memanfaatkan tool sah untuk aktivitas ilegal, membuat deteksi semakin sulit.
4. Kelemahan dalam Proses Disinfeksi
   • Reinfection terjadi jika malware tidak sepenuhnya dihapus. Ini mengajarkan pentingnya pemindaian menyeluruh dan pemantauan ketat setelah serangan terdeteksi.

Apa yang Bisa Dipelajari dari Kasus Ini?

1. Perlunya Kebijakan Zero Trust
   • Organisasi harus menerapkan framework Zero Trust, memastikan bahwa setiap akses—baik internal maupun eksternal—diverifikasi dan diawasi.
2. Investasi dalam Endpoint Detection and Response (EDR)
   • EDR dapat membantu mendeteksi aktivitas yang tidak biasa dan merespons ancaman lebih cepat, terutama untuk perangkat di luar perimeter keamanan.
3. Pelatihan dan Kesadaran Keamanan
   • Pengguna harus mendapatkan pelatihan reguler tentang cara mengenali email phishing dan social engineering, terutama personel di sektor pemerintahan dan militer.
4. Pemantauan Terhadap PowerShell dan Remote Access Tools
   • Aktivitas PowerShell dan perangkat akses jarak jauh seperti Anydesk harus dimonitor ketat karena dapat digunakan sebagai senjata oleh penyerang.
5. Kolaborasi dan Intelijen Siber
   • Kasus ini menekankan pentingnya kerja sama antar lembaga untuk berbagi indikator kompromi (IoC) dan mengembangkan strategi pertahanan yang lebih kuat.

Kasus Gamaredon mengajarkan bahwa serangan siber modern tidak hanya bergantung pada teknik teknis, tetapi juga pada manipulasi psikologis melalui social engineering. Adaptasi penyerang terhadap langkah pertahanan dan pemanfaatan tool sah seperti Anydesk menunjukkan bahwa sistem keamanan harus selalu ditingkatkan.

Ke depan, organisasi harus:

• Mengimplementasikan teknologi deteksi berbasis AI,
• Memastikan adanya kebijakan Zero Trust,
• Meningkatkan kerja sama internasional dalam berbagi intelijen ancaman.

Dengan memahami pola dan teknik serangan seperti yang digunakan Gamaredon, organisasi dapat lebih siap menghadapi ancaman serupa dan meminimalkan risiko serangan di masa depan.