Image credit: magnific
Spionase Siber Malware OctLurk dan SilkLurk – Sebuah kelompok peretas berbahasa Mandarin diduga kuat berada di balik gelombang serangan siber baru yang menargetkan organisasi-organisasi pemerintah, terutama di kawasan Asia dan sekitarnya sejak Januari 2025.
Organisasi yang menjadi target mencakup berbagai sektor krusial, seperti:
- Kementerian luar negeri.
- Lembaga penegak hukum.
- Sektor kesehatan.
- Riset.
- Tata kota.
- Pengelolaan fasilitas.
- Logistik.
- Hingga lembaga pendidikan tinggi publik.
Hingga saat ini, aktivitas tersebut belum dikaitkan secara pasti dengan kelompok penyerang (adversary) tertentu.
Serangan ini ditandai oleh penggunaan dua backdoor baru yang telah dikonfuskasi (obfuscated), yang dilacak sebagai OctLurk dan SilkLurk, serta sebuah utilitas khusus bernama LurkProxy yang digunakan untuk menyalurkan (proxy) lalu lintas jaringan.
OctLurk dan SilkLurk dapat mengunduh dan menyuntikkan plugin tambahan untuk menjalankan tindakan berbahaya lebih lanjut.
Analisis Teknis dan Jalur Serangan OctLurk
Meskipun vektor akses awal (initial access vector) belum diketahui secara pasti, analis menemukan bahwa OctLurk disuntikkan langsung ke dalam memori menggunakan alat pemuat (loader).
Sebelum mengeksekusi skrip batch untuk menjalankan LurkProxy, penyerang terlebih dahulu memeriksa koneksi internet ke domain dns.ssentialserv[.]xyz.
Utilitas LurkProxy kemudian terhubung ke server jarak jauh (154.196.162[.]76) sebagai saluran Command-and-Control (C2).
Setelah berjalan, OctLurk mengumpulkan informasi sistem, mengenkripsinya, dan mengirimkannya ke server C2 terkonfigurasi (dns.multitoconference[.]com).
Backdoor ini dapat memuat plugin yang diterima dari server C2 secara langsung ke dalam memori untuk:
- Mengeksekusi perintah.
- Mengelola berkas.
- Menyalin isi clipboard.
- Mengambil tangkapan layar.
- Hingga mengendalikan pergerakan tetikus.
Taktik Pasca-Kompromi OctLurk
Para penyerang memanfaatkan plugin command shell milik OctLurk untuk meluncurkan serangkaian aksi berikut:
- Sidik Jari Sistem: Melakukan fingerprinting pada host dan mengumpulkan data komprehensif dari sistem yang terkompromi.
- Audit Sesi Login: Mengunduh dan mengekstrak log event untuk memantau aktivitas remote interactive logon pengguna tertentu.
- Ekstraksi Kredensial Domain: Mencuri hash kata sandi dari Domain Controller menggunakan skrip secretsdump.py dari kerangka kerja Impacket.
- Penyamaran Keylogger: Mengunduh dan mengeksekusi keylogger yang menyamar sebagai aplikasi AnyDesk untuk mengelabui deteksi sistem keamanan.
- Pencurian Kata Sandi Peramban: Mendekripsi dan mengambil kata sandi yang tersimpan di Google Chrome dan Mozilla Firefox.
- Akses Jarak Jauh: Membangun remote access ke mesin korban menggunakan agen Pandora RC.
- Pemindaian Jaringan Internal: Menggunakan alat Fscan untuk memindai port populer seperti SSH (Port 22) dan MySQL (Port 3306), lalu mencoba masuk menggunakan daftar kata sandi dari berkas pp.txt.
- Intersepsi Email: Terhubung ke server email target, melakukan otentikasi, dan mengeksekusi perintah untuk mengumpulkan atau memanipulasi isi email.
Peran LurkProxy dan Taktik SilkLurk
LurkProxy berfungsi sebagai reverse proxy dalam dua mode terpisah: sebagai SOCKS5 proxy atau transparent proxy. Alat ini hanya dapat berjalan dalam satu mode pada satu waktu untuk mengarahkan lalu lintas jaringan melalui alamat target.
Sementara itu, SilkLurk diluncurkan melalui pustaka DLL yang dieksekusi menggunakan teknik DLL side-loading. Setelah aktif, SilkLurk membuat socket TCP dan terhubung ke server C2.
Backdoor ini dapat menerima perintah dari server untuk menyetel interval siklus komunikasi (sleep interval), mengambil waktu lokal sistem, hingga menyuntikkan plugin tambahan ke memori.
Taktik Pasca-Kompromi SilkLurk
- Pengumpulan Dokumen Rahasia: Menjalankan cmd.exe dan PowerShell untuk terhubung ke sumber daya jaringan bersama (shared network resources) menggunakan kredensial tingkat administrator. Penyerang mencari dokumen rahasia, mengumpulkannya, lalu mengarsipkannya menggunakan alat kompresi legal seperti WinRAR dan 7-Zip sebelum dieksfiltrasi.
- Penyebaran Backdoor PlugX: Menjalankan rantai DLL side-loading untuk menyebarkan PlugX, backdoor populer yang kerap digunakan oleh kelompok peretas asal Tiongkok.
Tumpang Tindih Infrastruktur dan Kesimpulan
Peneliti menemukan adanya tumpang tindih (overlap) infrastruktur antara kampanye ini dengan serangan sebelumnya yang melibatkan implant berbasis C++ bernama SilentRaid (dikenal juga sebagai MystRodX atau TrustFall).
Tumpang tindih ini mengarah pada penggunaan infrastruktur bersama di berbagai kampanye serangan. Kemunculan kerangka kerja malware multi-plugin OctLurk dan SilkLurk menunjukkan bagaimana para pelaku ancaman terus memperhalus taktik mereka untuk menghindari deteksi dan mempertahankan kendali atas jaringan yang terkompromi.
Kedua family malware ini beroperasi secara dominan di dalam memori (in-memory) dan hanya menyisakan pemuat (loader) minimalis di dalam disk. Loader tersebut memanfaatkan data spesifik mesin, seperti nomor seri drive pada OctLurk dan nama komputer pada SilkLurk, untuk mendekripsi lokasi dan isi dari payload.
Teknik pengodean yang sangat spesifik berdasarkan mesin korban ini membuat proses reverse engineering dan deteksi otomatis menjadi jauh lebih sulit dilakukan oleh tim pertahanan siber.
Sumber berita
