Telset.id – Peretas dilaporkan berhasil membobol 25 server di empat negara, termasuk sistem yang terhubung dengan organisasi afiliasi pemerintah Amerika Serikat. Temuan ini sekaligus mengungkap indikasi bahwa sejumlah alat AI kemungkinan ikut berperan dalam kampanye serangan tersebut.
Laporan terbaru Dream Research yang dirilis Senin mengungkap bahwa penyerang mengeksploitasi kerentanan kritis pada PHP, bahasa pemrograman yang digunakan jutaan situs web, sebelum memakai celah keamanan lain untuk mengambil kendali penuh atas sistem yang rentan. Serangan menyasar server di Amerika Serikat, Jepang, Taiwan, dan Korea Selatan. Peneliti menemukan indikasi kemungkinan keterkaitan dengan China, meski identitas pelaku dan keterlibatan pemerintah belum terkonfirmasi.
Yang membuat temuan ini serius adalah seberapa jauh penyerang berhasil masuk. Pada satu lingkungan afiliasi pemerintah AS, mereka melewati titik awal pembobolan dan memperoleh akses ke informasi jaringan internal, daftar akun karyawan, serta kredensial autentikasi. Peran pasti AI masih belum jelas, tetapi peneliti menemukan sejumlah perkakas di lingkungan penyerang yang memunculkan pertanyaan soal bagaimana AI dapat mempercepat serangan siber.
Dua Celah PHP2Shell Jadi Pintu Masuk
Serangan berawal dari dua celah keamanan kritis yang dikenal sebagai PHP2Shell dan diungkap ke publik pada 21 Oktober. PHP digunakan di balik layar oleh jutaan situs web, termasuk situs WordPress dan layanan online. Kedua kerentanan dengan kode CVE-2026-109618 dan CVE-2026-109619 itu memungkinkan peretas menjalankan perintah berbahaya pada server yang rentan.
Penyerang tidak berhenti di situ. Mereka menggabungkan celah tersebut dengan kerentanan Linux bernama Fragnesia, sehingga bisa mengambil kendali penuh atas sistem firewall tertentu tanpa memerlukan nama pengguna maupun kata sandi. Menurut laporan Dream Research yang dibagikan kepada Tom’s Guide, seluruh proses bisa berlangsung kurang dari 15 menit.
Peretas memulai dengan memindai sekitar 19.000 firewall yang menghadap internet, lalu mempersempit target ke 240 sistem yang berpotensi rentan. Dari situ, mereka memakai serangan otomatis untuk membobol 24 firewall dan satu server manajemen internal tambahan, sehingga totalnya menjadi 25 sistem. Peneliti juga menemukan bahwa peretas memasang perkakas berbasis web berbahaya di banyak sistem yang telah dikompromikan, memberi mereka potensi jalan masuk kembali meski serangan awal sudah lewat.
Baca Juga:
Jejak AI di Lingkungan Penyerang
Peneliti juga menemukan tanda-tanda bahwa penyerang mungkin memakai AI. Perkakas mereka mencakup Claude Code dari Anthropic dan platform keamanan berbasis AI bernama aiscan, yang dikonfigurasi untuk bekerja dengan model AI China DeepSeek dan Kimi. Mereka juga menemukan sekitar 40 skrip kustom yang format dan komentarnya konsisten, sehingga sebagian di antaranya diduga ditulis dengan bantuan AI.
Namun Dream Research menegaskan tidak ada bukti langsung bahwa AI digunakan untuk membuat eksploit atau menjalankan serangan. Perkakas tersebut bisa saja ada tanpa memainkan peran dalam pembobolan. Meski begitu, temuan ini memunculkan kekhawatiran soal bagaimana peretas bisa memakai asisten coding AI yang sama seperti yang diandalkan pengembang untuk menulis kode dan memecahkan masalah.
Peneliti turut menemukan petunjuk yang mengarah pada kemungkinan keterkaitan dengan China, termasuk prompt berbahasa Mandarin, sistem yang diatur ke zona waktu China, dan target yang terkonsentrasi di AS serta Asia Timur. Semua itu belum memastikan siapa dalang di balik serangan. Isu tata kelola AI pun menjadi sorotan, sejalan dengan sorotan bahwa IAM tradisional dinilai tak lagi memadai untuk mengamankan enterprise yang makin bergantung pada agen AI.
Salah satu temuan yang paling mengkhawatirkan melibatkan tiga server terkompromi yang terhubung ke organisasi afiliasi pemerintah AS. Setelah membobol firewall yang menghadap internet, peretas memperoleh detail tentang jaringan internal organisasi, termasuk VPN, sistem login, dan server lain. Mereka lalu bergerak lebih dalam ke jaringan, mengompromikan server manajemen firewall pusat, dan mencuri kata sandi akun. Mereka juga mendapatkan daftar pengguna dan grup di dalam organisasi.
Peneliti menemukan bukti bahwa penyerang mencoba menebak kata sandi karyawan, membuat akun tidak sah, dan mengakses kredensial login tambahan, meski belum jelas apakah upaya itu berhasil. Dream Research juga memperingatkan bahwa peretas mungkin masih memiliki akses ke sejumlah sistem saat laporan diterbitkan, namun hal itu belum dikonfirmasi secara independen. Perusahaan keamanan tersebut tidak menyebut nama produsen firewall maupun versi perangkat lunak yang terdampak, tetapi menyatakan telah memberi tahu vendor terkait.
PHP2Shell tidak secara langsung memengaruhi ponsel atau laptop pengguna, tetapi bisa membahayakan informasi yang tersimpan di situs web dan layanan online. Jika penyerang mengompromikan server tersebut, mereka berpotensi mendapatkan akses ke kata sandi, data sensitif, atau sistem internal. Dream Research tidak menemukan bukti bahwa data pribadi konsumen biasa dicuri dalam kampanye ini. Namun, kerentanan tersebut sudah dieksploitasi di luar 25 server itu. Amazon Web Services mendeteksi upaya eksploitasi sejak 17 Oktober, empat hari sebelum celah diungkap ke publik. Sophos juga melaporkan upaya serangan dan setidaknya satu pembobolan yang berhasil.
Bagi pengelola situs WordPress atau toko online, langkah yang disarankan adalah memeriksa dengan penyedia hosting untuk memastikan PHP sudah ditambal. Memperbarui plugin WordPress saja tidak serta-merta menyelesaikan masalah. Administrator juga perlu memeriksa tanda-tanda kompromi, karena memasang tambalan tidak akan mengusir penyerang yang sudah mendapatkan akses. Bagi pengguna lain, memakai kata sandi unik, mengaktifkan autentikasi dua faktor, dan mewaspadai notifikasi login mencurigakan tetap menjadi langkah pencegahan yang masuk akal.
Di sisi lain, temuan ini memperkuat kekhawatiran yang lebih luas soal penyalahgunaan AI oleh aktor jahat. Sebelumnya, hacker China dilaporkan memalsukan identitas peneliti Anthropic untuk mengincar rahasia AI AS, menandakan bahwa ancaman berbasis AI kian nyata di lanskap keamanan siber.
[WIDGET]
Komentar
Belum ada komentar.