Telset.id – Google Threat Intelligence Group mengungkap bahwa anak perusahaan keamanan sibernya, Mandiant, berhasil menempatkan seorang analis penyamaran di dalam lingkaran inti kelompok peretas TeamPCP hampir sejak awal kemunculan kelompok tersebut. Peneliti Google Threat Intelligence Group, Austin Larsen, akan memaparkan detail investigasi dan infiltrasi ini dalam sesi presentasi di konferensi riset keamanan LABScon. Pengungkapan ini menjadi salah satu bukti paling konkret bagaimana operasi penyusupan dunia maya dapat membongkar jaringan kejahatan siber berskala besar.
Menurut Larsen, salah satu persona Google telah bekerja selama berbulan-bulan untuk membangun kepercayaan dengan salah satu aktor yang diundang bergabung ke TeamPCP, sehingga akhirnya berhasil dimasukkan ke dalam kelompok tersebut. “Jadi pada dasarnya, hampir di hari pertama, Mandiant sudah mengawasi segala sesuatu di balik layar,” ujar Larsen kepada WIRED dalam wawancara sebelum sesi LABScon-nya.
TeamPCP pertama kali muncul secara online pada akhir 2025 dan menjadi sorotan karena rangkaian serangan rantai pasok yang berani. Kelompok ini berulang kali mengompromikan perangkat lunak sumber terbuka untuk menyembunyikan malware, yang kemudian memungkinkan mereka membajak kredensial pengembang perangkat lunak dan menanam kode berbahaya mereka di alat lain yang digunakan secara luas, dalam siklus yang terus berulang.
Sejak musim semi, TeamPCP dilaporkan mengompromikan pemindai keamanan sumber terbuka Trivy, alat API aplikasi AI LiteLLM, infrastruktur perusahaan keamanan aplikasi web Checkmarx, pustaka aplikasi web TanStack, dan platform AI perusahaan Mistral AI. Serangan rantai pasok berulang itu akhirnya memungkinkan para peretas membobol repositori kode sumber terbuka Github, perusahaan kontrak data Mercor, serta perangkat karyawan di OpenAI, Komisi Eropa, dan banyak pihak lain yang tidak disebutkan namanya dalam pemberitaan publik.
Pada beberapa kesempatan, kelompok ini menggunakan worm bernama Mini Shai-Hulud, yang dinamai dari cacing pasir dalam Dune, untuk mengotomatisasi peretasan dan memperluas skala korban. Nama itu juga tampaknya merujuk pada worm Shai-Hulud sebelumnya yang dirancang peretas untuk mencoba pendekatan serupa pada September 2025, meski masih belum jelas apakah TeamPCP atau salah satu anggotanya terlibat dalam kampanye intrusi sebelumnya.
Kredensial Curian dan Upaya Menghentikan Pemerasan
Larsen mengungkap bahwa pada Maret, tepat saat TeamPCP memulai aksi peretasan rantai pasoknya, analis penyamaran Google diundang bergabung ke lingkaran inti peretas. Sumber dalam itu, yang namanya menolak diungkap Larsen, adalah satu dari sekitar 12 anggota kelompok yang diberi akses ke obrolan inti yang disebut TeamPCP sebagai CanisterWorm.
“Kalian harus paham bahwa kami melakukan serangan rantai pasok terbesar yang mungkin pernah tercatat dalam sejarah modern,” tulis salah satu anggota TeamPCP dalam obrolan yang bocor tersebut.
Michael Fletcher, mantan analis AFP yang kini bekerja di divisi riset ancaman perusahaan telekomunikasi Australia Telstra, mengatakan ia menghubungi Larsen sekitar waktu itu untuk membahas metode pemantauan anggota dan aktivitas kelompok. Ia menyebut Larsen merespons dengan memintanya mendekati para peretas secara hati-hati karena salah satu dari mereka adalah “kawan”. “Saya berpikir, sial, kalian sudah berada di dalam sejak awal,” ujarnya.
Analis penyamaran Google, menurut Larsen, mendapat akses ke server tempat TeamPCP menyimpan kumpulan kredensial curian dari banyak korbannya: nama pengguna, kata sandi, dan token akses yang diperoleh melalui peretasan dan tampaknya direncanakan untuk memeras perusahaan target. Tim Google pun memutuskan mengambil tindakan untuk memperingatkan korban dan mencegah skema tebusan TeamPCP.
“Pikiran saya adalah: bagaimana kami bisa secepat mungkin mengganggu kampanye mereka sebelum lebih banyak kompromi terjadi?” kata Larsen. “Ayo kita rusak apa yang sedang mereka lakukan. Itu tujuan saya.”
Alih-alih berfokus memberi peringatan langsung kepada pemilik kredensial curian di perusahaan korban, yang menurut Larsen akan memakan terlalu banyak waktu mengingat banyaknya perusahaan yang dibobol, Google lebih dulu menghubungi penyedia layanan tempat kredensial itu bisa digunakan, seperti Amazon Web Services dan Microsoft, untuk mencabut kredensial tersebut dan mencegah peretas memanfaatkannya. Larsen dan timnya mengirim ratusan email notifikasi ke penyedia layanan itu dan kemudian ke para korban, banyak di antaranya merespons dengan cepat.
Pada waktu yang hampir bersamaan, Larsen menyebut visibilitas Google ke obrolan internal TeamPCP juga memungkinkannya mengetahui bahwa seseorang di lingkaran inti kelompok, terpisah dari peretasan rantai pasok, menggunakan alat AI untuk mengembangkan eksploit zero-day pada perangkat lunak login yang digunakan secara luas. Eksploit itu akan memungkinkan peretas melewati autentikasi dua faktor. Tim Google memperoleh salinan kode eksploit, mengujinya, dan menemukan bahwa dengan beberapa penyesuaian, kode itu berfungsi, sebuah contoh langka teknik peretasan yang dibuat AI di alam liar yang memanfaatkan kerentanan perangkat lunak yang sebelumnya tidak diketahui. Google memperingatkan pengembang perangkat lunak tersebut, yang kemudian mampu menambal celah keamanannya. Insiden ini dijelaskan dalam studi kasus yang dirilis Google pada Mei, tetapi tanpa menyebut TeamPCP atau merinci bagaimana Google mengetahui eksploit tersebut.
Pengkhianatan dan Kesalahan Operasional
Analis Google ternyata bukan satu-satunya pengkhianat di tengah TeamPCP. Bahkan sebelum upaya penggagalan Google, Larsen menyebut kelompok itu kesulitan meraup keuntungan dari kumpulan data curiannya yang sangat besar, yang menurut AFP mencakup lebih dari setengah juta kredensial pengguna. Larsen memperkirakan, meski memiliki hasil curian sebanyak itu, kelompok tersebut hanya mengantongi puluhan ribu dolar dari pembayaran pemerasan, bukan jutaan dolar seperti yang dikumpulkan kelompok serupa.
Untuk memonetisasi peretasan dengan lebih baik, TeamPCP mengundang beberapa kelompok kriminal siber lain bermitra, memberi mereka akses ke kredensial curian dengan imbalan persentase dari pembayaran pemerasan yang berhasil mereka tarik. Salah satu mitra kriminal siber itu adalah ShinyHunters, kelompok peretas yang sudah lama ada dan sangat produktif, yang telah memeras jutaan dolar dari korban melalui pencurian data dan ransomware, termasuk dalam pelanggaran platform perangkat lunak pendidikan Canvas yang kemudian melumpuhkan ribuan sekolah di Amerika Serikat.
Sekitar April, beberapa minggu setelah bermitra dengan TeamPCP, ShinyHunters berkhianat, menurut Larsen, dengan menjalankan pemerasan sendiri menggunakan kredensial TeamPCP tanpa memberikan bagian kepada peretas rantai pasok tersebut. ShinyHunters bahkan secara tidak diminta membagikan kepada Larsen log lengkap obrolan kelompok di server TeamPCP, tanpa mengetahui bahwa ia sudah memiliki akses melalui penyusup Google. ShinyHunters juga mengejek TeamPCP dalam pesan di X, dan pengkhianatan yang lebih lantang itu menarik perhatian kelompok tersebut.
TeamPCP merespons dengan mempersempit lingkaran intinya, memindahkan data ke server baru, dan mengusir ShinyHunters serta beberapa anggota kelompok lain dari obrolan CanisterWorm, termasuk analis penyamaran Google. “Hapus saja itu dan berhenti berbagi dengan ShinyHunters,” tulis salah satu pemimpin TeamPCP.
Meski tanpa sumber di dalam itu, Larsen menyebut kerja detektif digital yang lebih tradisional memungkinkannya merangkai jejak yang akhirnya mengungkap identitas Thomson, salah satu dari dua pria yang didakwa berperan “kunci” di TeamPCP. Larsen menemukan dalam kebocoran data pengguna dari forum peretas BreachForums bahwa salah satu nama pengguna paling aktif di obrolan CanisterWorm terdaftar dengan alamat Gmail sheepstealing@gmail.com. Menelusuri arsip forum lain, ia menemukan perselisihan tahun 2019 antara seseorang dengan pseudonim sheepstealing dan penjual kunci Microsoft Office bajakan, di mana pengguna sheepstealing menuntut pengembalian dana ke akun PayPal yang terkait dengan email ruben@thomsonfamily.net.au.
Setelah TeamPCP memindahkan kredensial curiannya ke server yang dihosting penyedia berbeda, Larsen menyebut Google dapat mengetahui sebagian isi server baru itu melalui apa yang ia gambarkan sebagai “mitra tepercaya”, dan juga bahwa server tersebut dicadangkan ke Google Drive pada akun sheepstealing@gmail.com yang sama.
“Ketika kami melihat itu, saya hanya berpikir: tidak mungkin. Kenapa dia mengirim semua materi curian ilegal ini ke Google Drive yang terkait dengan dirinya sendiri?” kata Larsen. “Saat itulah kami memberikan petunjuk ke FBI.” Larsen menyebut ia mendapat respons tertarik dari seorang agen dalam hitungan menit.
Larsen mungkin bukan satu-satunya yang mengidentifikasi Thomson atau peretas TeamPCP lain sebelum penangkapan mereka. Jurnalis dan penyelidik keamanan siber Brian Krebs, misalnya, menerbitkan artikel bulan lalu yang memaparkan rangkaian petunjuknya sendiri yang mengarah pada identitas Thomson. Dalam pernyataan kepada WIRED, FBI menolak berkomentar soal “investigasi aktif” apa pun tetapi mencatat bahwa pihaknya “dapat mengonfirmasi bahwa kami berupaya meningkatkan dampak terhadap musuh melalui kemitraan seperti yang didokumentasikan dalam Strategi Siber FBI kami yang baru dirilis.” AFP menolak berkomentar.
Sekitar sebulan setelah petunjuknya, Larsen menyebut penegak hukum AS telah menyelesaikan proses hukum untuk meminta data Thomson dari Google dengan surat perintah. Pada akhir bulan lalu, Thomson ditangkap polisi Australia, yang merilis video dirinya digiring keluar dari rumah pinggiran kota dengan hoodie Northface dan celana training. Baik Thomson maupun Gaebler, anggota TeamPCP lain yang ditangkap, tidak dapat dihubungi untuk dimintai komentar.
Larsen dengan hati-hati menekankan bahwa analis penyamaran Google di dalam TeamPCP tidak pernah terlibat dalam peretasan ilegal atau bahkan mendorong pelanggaran yang dilakukan kelompok itu. “Mereka seperti lalat di dinding, hanya berbicara secukupnya agar tidak mencurigakan,” kata Larsen. “Ada rambu-rambu pengaman seputar apa yang kami lakukan.”
Larsen juga mencatat bahwa kerja timnya untuk secara aktif menggagalkan peretasan TeamPCP adalah bagian dari pergeseran baru di Google. Investigasi tersebut dimulai sekitar waktu yang sama dengan peluncuran Cyber Disruption Unit Google, yang secara resmi ditugaskan mengambil pendekatan lebih agresif untuk memerangi kejahatan siber dan peretasan yang didukung negara.
“Google Threat Intelligence Group telah menekankan pentingnya penggagalan. Itu salah satu misi kami sekarang,” kata Larsen. “Menulis laporan hanya berguna sampai batas tertentu. Mengambil tindakan untuk melindungi pengguna dan pelanggan, itulah langkah berikutnya.”
Bagi pengguna dan pelaku bisnis di Indonesia, kasus ini menjadi pengingat bahwa ancaman rantai pasok perangkat lunak dapat menyentuh layanan digital sehari-hari, mulai dari aplikasi produktivitas hingga platform AI. Kehadiran sumber di dalam kelompok peretas menunjukkan deteksi dini dan respons cepat dapat memutus rantai pemerasan sebelum lebih banyak korban jatuh, sebagaimana terlihat dari langkah Google mencabut kredensial curian bersama penyedia layanan cloud.
Komentar
Belum ada komentar.