Telset.id – Kelompok peretas siber Fire Ant yang diduga terkait dengan China kini tidak lagi hanya menyerang platform virtualisasi. Berdasarkan laporan terbaru dari peneliti keamanan siber Sygnia, kelompok ini telah memperluas target serangannya ke perangkat router, sistem autentikasi, dan host manajemen Linux.
Perluasan target ini menandakan perubahan signifikan dalam strategi operasional Fire Ant. Jika sebelumnya fokus utama mereka adalah lingkungan virtual, kini mereka mengincar infrastruktur jaringan yang lebih fundamental. Dampaknya, organisasi yang menjadi korban menghadapi risiko kompromi yang jauh lebih luas karena perangkat-perangkat tersebut merupakan tulang punggung operasional jaringan perusahaan.
Sygnia baru-baru ini mengamati kelompok ini menyerang router Cisco IOS XR. Yang menarik, setelah berhasil mengompromikan sebuah router, Fire Ant tidak sekadar menggunakannya untuk bergerak di dalam jaringan. Para peneliti menjelaskan bahwa router yang telah diretas tersebut diubah menjadi platform operasional penuh yang digunakan untuk mengumpulkan lalu lintas data, membangun koneksi, memanipulasi output perintah, dan bahkan menekan pencatatan log agar tidak terdeteksi oleh tim keamanan.
Selain router, Fire Ant juga diketahui menargetkan server TACACS. Server ini digunakan oleh administrator untuk melakukan autentikasi saat mengakses perangkat keras jaringan. Dengan menyusup ke sistem ini, para peretas dapat memanen kredensial berharga dan melemahkan keandalan catatan audit yang menjadi alat penting bagi tim keamanan untuk melacak aktivitas mencurigakan.
Target berikutnya yang tak kalah penting adalah host manajemen Linux. Sygnia menemukan beberapa implant persisten dan backdoor pada sistem ini, termasuk backdoor SSH khusus dan malware yang menyamar sebagai perangkat lunak sah. Keberadaan backdoor ini memungkinkan Fire Ant mempertahankan akses jangka panjang ke infrastruktur korban tanpa terdeteksi.
Target di Balik Target
Strategi Fire Ant dalam kampanye ini tampaknya bertujuan untuk membangun pijakan yang memungkinkan mereka menjangkau lingkungan lain yang terhubung dengan korban. Sygnia menggambarkan skenario ini sebagai “target behind the target” atau target di balik target.
“Hal ini memperkuat konsep ‘target behind the target’ yang diperkenalkan sebelumnya dalam laporan ini. Ketertarikan Fire Ant pada organisasi yang dikompromikan harus dipahami bukan hanya sebagai upaya untuk mengompromikan satu lingkungan, tetapi sebagai upaya untuk mengendalikan infrastruktur yang memungkinkan visibilitas, koleksi, dan potensi akses di luar korban langsung. Nilai strategisnya terletak pada hubungan kepercayaan yang dimiliki organisasi dengan lingkungan yang terhubung,” jelas Sygnia.
Konsep ini menunjukkan bahwa Fire Ant tidak sekadar mencuri data dari satu korban. Mereka secara sistematis memetakan hubungan kepercayaan antarorganisasi dan memanfaatkannya sebagai batu loncatan untuk mencapai target yang lebih bernilai. Ini adalah pendekatan yang lebih canggih dibandingkan kampanye spionase siber pada umumnya.
Baca Juga:
Profil Fire Ant yang Masih Misterius
Informasi mengenai Fire Ant masih sangat terbatas. Yang diketahui, kelompok ini pertama kali teramati pada tahun 2025. Beberapa peneliti mengklaim terdapat tumpang tindih signifikan antara Fire Ant dengan aktor ancaman yang dilacak sebagai UNC3886, kelompok spionase China yang sebelumnya diamati oleh Google.
Namun, ada juga perbedaan signifikan yang membuat atribusi ini tidak konklusif. Para peneliti belum dapat memastikan secara pasti apakah Fire Ant benar-benar bagian dari UNC3886 atau merupakan entitas terpisah yang berbagi infrastruktur atau taktik tertentu.
Ketidakjelasan atribusi ini menambah tantangan bagi tim keamanan dalam merancang strategi pertahanan. Tanpa profil yang jelas, sulit untuk memprediksi langkah berikutnya dari kelompok ini atau mengidentifikasi indikator kompromi yang spesifik.
Bagi organisasi yang menjalankan infrastruktur jaringan skala besar, temuan Sygnia ini menjadi peringatan penting. Keamanan tidak bisa lagi hanya berfokus pada perlindungan server dan endpoint. Perangkat jaringan seperti router, sistem autentikasi, dan host manajemen kini menjadi target utama yang harus mendapatkan perhatian serius dalam postur keamanan organisasi.
Langkah mitigasi yang dapat dipertimbangkan antara lain memastikan perangkat router dan switch selalu diperbarui dengan patch keamanan terbaru, memantau aktivitas TACACS secara berkala, serta melakukan audit rutin terhadap host manajemen Linux untuk mendeteksi keberadaan backdoor atau implant yang mencurigakan.
Temuan Sygnia ini juga menegaskan bahwa ancaman siber dari kelompok yang didukung negara semakin canggih dan terarah. Pendekatan “target behind the target” yang digunakan Fire Ant menunjukkan pemahaman mendalam tentang bagaimana organisasi modern saling terhubung dan bagaimana hubungan tersebut dapat dieksploitasi untuk kepentingan spionase.
Komentar
Belum ada komentar.