Dalam lanskap keamanan siber global, ancaman dari kelompok yang didukung negara semakin meningkat, terutama dalam konteks konflik geopolitik. Salah satu kelompok yang aktif dalam operasi siber skala besar adalah UNC2589, yang juga dikenal sebagai FROZENVISTA. Kelompok ini dikaitkan dengan Direktorat Intelijen Utama Staf Umum Rusia (GRU) Unit 29155, yang bertanggung jawab atas berbagai serangan siber terhadap Ukraina.

UNC2589 dan Keterlibatan Aktor Non-Militer

UNC2589 tidak hanya mengandalkan sumber daya militer dalam operasinya, tetapi juga bekerja sama dengan komunitas kejahatan siber dan organisasi sektor swasta untuk menjalankan serangan mereka. Salah satu aspek yang paling menonjol dari metode mereka adalah pemanfaatan malware-as-a-service—alat peretasan yang tersedia secara luas di komunitas kriminal berbahasa Rusia.

Menurut analisis GTIG (Global Threat Intelligence Group), UNC2589 menggunakan berbagai jenis malware yang dijual di forum kejahatan siber untuk menjalankan serangan mereka. Dengan cara ini, mereka dapat:

• Menekan biaya pengembangan malware baru
• Menyamarkan keterlibatan langsung pemerintah Rusia
• Mempercepat eksekusi serangan dengan menggunakan alat yang sudah terbukti efektif

Serangan Awal: PAYWIPE dan SHADYLOOK

Pada Januari 2022, sebulan sebelum Rusia menginvasi Ukraina, UNC2589 melancarkan serangan siber yang dianggap sebagai serangan awal (preliminary strike) terhadap entitas pemerintah Ukraina. Dalam serangan ini, mereka menggunakan dua jenis wiper malware yang sangat merusak:

• PAYWIPE (WHISPERGATE)
• SHADYLOOK

Wiper malware dirancang untuk menghapus data pada sistem yang terinfeksi, membuatnya tidak dapat dipulihkan. Dalam serangan ini, UNC2589 menggunakan dua alat tambahan untuk menginstal SHADYLOOK di sistem target:

• GOOSECHASE downloader – Perangkat lunak yang digunakan untuk mengunduh dan menjalankan malware di sistem target.
• FINETIDE dropper – Alat yang membantu dalam menyebarkan malware ke dalam sistem yang disusupi.

Menurut laporan dari Departemen Kehakiman Amerika Serikat (DOJ), salah satu individu yang mengelola infrastruktur serangan ini adalah seorang warga sipil Rusia yang diduga berperan sebagai kontraktor kriminal. Ini menunjukkan bagaimana kelompok peretas yang didukung negara semakin sering bekerja sama dengan aktor kriminal untuk meningkatkan efektivitas operasi mereka.

Kaitan dengan WhiteBlackCrypt dan Ransomware

Investigasi lebih lanjut dari CERT-UA (Ukrainian Computer Emergency Response Team) mengungkap bahwa SHADYLOOK memiliki kesamaan struktural dengan ransomware WhiteBlackCrypt, yang juga dikenal dengan nama lain WARYLOOK. Temuan ini memperkuat dugaan bahwa malware yang digunakan dalam serangan ini bukanlah alat yang dibuat khusus oleh UNC2589, melainkan hasil adaptasi dari ransomware yang sebelumnya digunakan oleh kelompok kriminal siber.

Selain itu, baik GOOSECHASE maupun FINETIDE tersedia untuk dibeli di forum pasar gelap, yang semakin menunjukkan bagaimana komunitas kejahatan siber dan aktor negara semakin saling berkolaborasi dalam operasi mereka.

Bahaya Meningkat dari Kejahatan Siber yang Didukung Negara

Seorang pembelajar cyber security, saya menyoroti bahaya dari tren ini, di mana kelompok yang didukung negara kini semakin mengandalkan alat yang sudah tersedia di komunitas kejahatan siber. “Ketika negara-negara mulai membeli atau menyewa alat peretasan dari dunia kriminal, kita menghadapi ancaman yang jauh lebih sulit dideteksi dan dicegah. Mereka bisa dengan mudah mengaburkan jejak, menggunakan alat yang sama dengan yang digunakan oleh kriminal independen, sehingga sulit untuk mengidentifikasi pelaku sebenarnya,” ujarnya.

Menurutnya, ada beberapa langkah penting yang harus dilakukan untuk mengatasi ancaman ini:

• Memperkuat sistem deteksi dini – Organisasi harus menggunakan sistem deteksi ancaman berbasis AI untuk mengenali pola serangan yang tidak biasa.
• Meningkatkan kerja sama antarnegara – Kolaborasi antara pemerintah dan perusahaan teknologi sangat penting dalam mengatasi serangan siber yang semakin kompleks.
• Edukasi dan kesadaran siber – Perusahaan dan individu harus lebih waspada terhadap teknik phishing dan metode lain yang digunakan untuk menyebarkan malware.
• Membatasi akses ke pasar gelap siber – Langkah-langkah hukum yang lebih ketat harus diterapkan untuk menghambat transaksi di pasar gelap yang memperjualbelikan alat peretasan.

Ancaman yang Harus Diwaspadai

UNC2589 (FROZENVISTA) adalah contoh nyata bagaimana negara menggunakan komunitas kriminal siber untuk menjalankan operasi mereka. Dengan menggunakan alat yang sudah tersedia di dunia kejahatan siber, mereka dapat menyerang dengan biaya yang lebih rendah, risiko yang lebih kecil, dan efektivitas yang lebih tinggi.

Serangan terhadap Ukraina menunjukkan bahwa perang modern tidak hanya terjadi di medan tempur fisik, tetapi juga di ranah digital. Oleh karena itu, organisasi dan negara-negara di seluruh dunia harus lebih siap menghadapi ancaman ini dengan meningkatkan pertahanan siber mereka, mengembangkan sistem deteksi yang lebih canggih, dan memperkuat kerja sama internasional untuk menekan kejahatan siber yang semakin berkembang.