Dalam dunia yang semakin digital, aplikasi perpesanan terenkripsi seperti Signal menjadi andalan bagi banyak kalangan, termasuk jurnalis, aktivis, pejabat pemerintah, dan bahkan personel militer. Namun, laporan terbaru dari Google Threat Intelligence Group (GTIG) mengungkapkan bahwa beberapa aktor ancaman siber yang berafiliasi dengan Rusia semakin gencar berupaya membobol akun Signal penggunanya.

Ancaman ini muncul di tengah meningkatnya kebutuhan intelijen akibat perang Rusia-Ukraina. Dengan informasi yang dapat diakses melalui peretasan akun Signal, para pelaku dapat memperoleh data sensitif terkait komunikasi militer dan pemerintahan. Namun, yang lebih mengkhawatirkan adalah kemungkinan bahwa metode peretasan ini akan menyebar ke wilayah lain di luar konflik Ukraina.

Bagaimana Rusia Menargetkan Akun Signal?

Metode utama yang digunakan oleh kelompok peretas ini adalah eksploitasi fitur “Linked Devices” pada Signal. Fitur ini memungkinkan pengguna untuk menghubungkan akun Signal mereka ke beberapa perangkat secara bersamaan dengan cara memindai kode QR.

Namun, aktor ancaman siber yang didukung negara telah memanfaatkan fitur ini dengan membuat kode QR berbahaya. Jika korban tidak sadar dan memindai kode ini, akun mereka akan terhubung ke perangkat yang dikendalikan oleh peretas. Akibatnya, semua pesan yang dikirim dan diterima akan otomatis tersalin ke perangkat tersebut tanpa korban menyadarinya.

Serangan ini tidak hanya dilakukan melalui phishing online, tetapi juga melalui taktik serangan langsung di medan perang. Kelompok seperti APT44, yang berafiliasi dengan intelijen militer Rusia (GRU), diketahui telah menggunakan perangkat militer yang disita di medan tempur untuk menghubungkan akun Signal korban ke infrastruktur yang mereka kendalikan.

Taktik Phishing yang Digunakan

Dua kelompok peretas utama yang dilaporkan beroperasi dalam serangan ini adalah UNC5792 dan UNC4221:

1. UNC5792 (Taktik Modifikasi Undangan Grup Signal)
   • Kelompok ini memodifikasi halaman undangan grup Signal untuk menyisipkan kode QR yang menghubungkan akun korban ke perangkat peretas.
   • Mereka meniru tampilan halaman resmi Signal agar korban tidak curiga.
   • Ketika korban mengklik tautan undangan, mereka justru diarahkan ke URL berbahaya yang langsung menautkan akun mereka ke perangkat penyerang.
2. UNC4221 (Phishing Kit Berbasis Signal)
   • Kelompok ini menargetkan personel militer Ukraina dengan phishing kit yang menyerupai aplikasi Kropyva (aplikasi militer Ukraina untuk panduan artileri).
   • Mereka menyisipkan kode QR berbahaya dalam undangan grup palsu.
   • Selain itu, mereka juga menggunakan skrip JavaScript ringan bernama PINPOINT untuk mengumpulkan data lokasi pengguna melalui browser.

Strategi Lanjutan Rusia dan Belarus untuk Menyadap Signal

Selain taktik phishing berbasis QR code, berbagai kelompok peretas dari Rusia dan Belarus juga menggunakan metode lain untuk mencuri database pesan dari perangkat pengguna. Beberapa metode yang digunakan antara lain:

• WAVESIGN (APT44): Skrip Windows Batch yang secara berkala mengekstrak pesan Signal dari database perangkat Windows korban dan mengunggahnya menggunakan Rclone.
• Infamous Chisel (Sandworm): Malware Android yang mampu mencari dan menyalin database pesan dari berbagai aplikasi perpesanan, termasuk Signal.
• Turla (FSB Rusia): Skrip PowerShell ringan yang digunakan dalam tahap pasca-kompromi untuk mengambil pesan dari Signal Desktop.
• UNC1151 (Belarus-linked): Menggunakan perintah Robocopy untuk menyalin seluruh direktori file pesan dan lampiran dari Signal Desktop untuk kemudian dieksfiltrasi.

Mengapa Ini Berbahaya?

Ancaman ini menunjukkan betapa pentingnya kesadaran dan kehati-hatian dalam menggunakan aplikasi perpesanan, terutama bagi individu yang sering menjadi target pengawasan. Serangan ini membuktikan bahwa bahkan fitur sah yang dibuat untuk mempermudah pengguna dapat disalahgunakan oleh aktor jahat jika tidak diterapkan dengan pengamanan yang ketat.

Lebih lanjut, metode yang digunakan dalam serangan ini sangat sulit dideteksi oleh sistem keamanan otomatis. Eksploitasi melalui fitur Linked Devices ini bukanlah eksploitasi sistem secara langsung, tetapi lebih kepada manipulasi pengguna untuk secara tidak sadar memberikan akses ke akun mereka sendiri. Ini yang membuatnya sulit untuk dideteksi secara teknologi, karena secara teknis, korban sendiri yang mengizinkan koneksi perangkat baru.

Bagaimana Cara Melindungi Diri dari Serangan Ini?

Untuk menghindari menjadi korban serangan ini, berikut beberapa langkah yang dapat dilakukan:

1. Selalu Perbarui Aplikasi Signal
   • Signal telah merilis pembaruan dengan fitur keamanan tambahan untuk melindungi pengguna dari serangan ini.
   • Pastikan selalu menggunakan versi terbaru dari aplikasi ini di perangkat Anda.
2. Hati-hati dengan Kode QR yang Tidak Dikenal
   • Jangan pernah memindai kode QR yang dikirimkan dari sumber yang tidak jelas atau tidak resmi.
   • Pastikan hanya memindai kode QR dari aplikasi Signal resmi.
3. Periksa Perangkat yang Terhubung
   • Periksa secara rutin daftar perangkat yang terhubung ke akun Signal Anda di pengaturan aplikasi.
   • Jika ada perangkat yang mencurigakan, segera hapus dari daftar.
4. Gunakan Verifikasi Dua Langkah
   • Aktifkan fitur Two-Step Verification untuk memberikan perlindungan ekstra terhadap upaya peretasan akun.
5. Waspada terhadap Phishing
   • Hindari mengklik tautan yang mencurigakan, terutama yang mengaku sebagai undangan grup Signal.
   • Jika ragu, pastikan tautan berasal dari sumber yang terpercaya.

Serangan terhadap Signal yang dilakukan oleh aktor ancaman siber Rusia menunjukkan bahwa keamanan digital tetap menjadi tantangan besar bagi pengguna, terutama bagi mereka yang memiliki data sensitif. Meskipun serangan ini saat ini lebih terfokus pada Ukraina, ada kemungkinan metode ini akan menyebar ke negara lain, termasuk Indonesia. Oleh karena itu, penting bagi setiap pengguna untuk lebih waspada dan mengambil langkah pencegahan yang tepat untuk melindungi akun mereka dari potensi ancaman siber yang semakin canggih.