Jornal Media Asia -

Pakar keamanan siber telah membeberkan rincian mengenai serangan siber yang memanfaatkan sepasang celah keamanan teranyar pada sistem AhsayCBS demi menyusupkan implan berbasis Python.

Aktivitas mencurigakan ini pertama kali terdeteksi oleh pihak Huntress pada permulaan Oktober 2026. Aksi tersebut melibatkan eksploitasi rantai kerentanan yang mencakup CVE-2026-105133 serta CVE-2026-105134. Melalui kombinasi ini, pelaku mampu menerobos proses autentikasi sekaligus mengeksekusi beragam perintah arbitrer pada mesin yang menjadi target. Pembaruan keamanan untuk menambal kedua celah kritis tersebut akhirnya resmi diluncurkan oleh pihak Ahsay Backup pada pertengahan Oktober 2026.

Kedua kelemahan perangkat lunak tersebut dinilai telah dipersenjatai sebagai eksploit zero-day. Platform pemantau keamanan siber itu awalnya menyaksikan bagaimana para pelaku kejahatan menerapkan taktik serbuan kilat oportunistik demi menanam web shell serta perangkat penambang kripto XMRig ke dalam infrastruktur yang sukses dibobol.

"Kendati demikian, insiden kali ini memperlihatkan operasi penyusupan berskala jauh lebih luas dengan tingkat kesabaran tinggi; sang operator menyebarkan shell di sejumlah lokasi berbeda, mengoperasikan dua penambang terpisah, mempersiapkan piranti tunneling, serta menyematkan implan kustom, di mana seluruh tindakan tersebut dilancarkan pada server-server yang sejatinya bertugas menyimpan cadangan data," tutur peneliti Huntress, Jonathan Semon.

Secara spesifik, aktor ancaman tak dikenal itu dilaporkan meninggalkan sebanyak lima famili web shell berbasis Jakarta Server Pages (JSP, yang sebelumnya dikenal sebagai JavaServer Pages).

"Penyamaran [AhsayCBS.jsp] sebagai layanan pratinjau citra internal bahkan dirancang begitu rapi hingga menyertakan blok komentar yang menguraikan endpoint tanda air," papar pihak Huntress. "Web shell ini sepenuhnya memanfaatkan objek implisit JSP serta penamaan kelas secara lengkap, yang berarti berkas tersebut mampu terkompilasi pada wadah servlet apa pun serta kompatibel dengan Java Development Kit (JDK) versi 6 maupun edisi setelahnya."

Selain menyebarkan penambang XMRig yang menyamar sebagai peramban Microsoft Edge, rentetan serangan ini juga diketahui mengunduh piranti penambang XMRig kedua yang diberi label "kvm-agent.exe". Program jahat tambahan ini diatur untuk melakukan restart otomatis setiap menit memanfaatkan scheduled task berhak istimewa SYSTEM, serta memakai alamat dompet digital dan kolam penambangan yang berbeda.

Bagian paling menyita perhatian dari kampanye peretasan ini bertumpu pada implan backdoor Python bernama "main.py". Malware ini secara khusus diprogram agar hanya dapat beroperasi pada host tempatnya pertama kali dipasang, sehingga mampu mencegah eksekusi di dalam lingkungan sandbox analisis malware.

Metode penghindaran tersebut dilakukan lewat perhitungan hash kriptografi SHA-256 dari MachineGuid milik sistem korban. Selanjutnya, skrip mencari penanda berkas bernama serupa pada direktori yang sama, sebelum akhirnya mengeksekusi modul pustaka x64 DLL di memori untuk menghubungi server command-and-control (C2) dengan domain "creepexplosiondarknight[.]com".

Guna menghindari deteksi piranti keamanan, rangkaian serangan ini sengaja mengubah daftar pengecualian pada sistem Microsoft Defender. Pelaku juga memasang perkakas tunneling (GOST dan Chisel) serta piranti lunak remote access legal seperti AnyDesk, Atera, hingga Splashtop demi mengamankan pintu masuk permanen.

Bukti-bukti digital mengindikasikan bahwa peretas memang sengaja menargetkan server yang mengelola maupun menyimpan cadangan data korporat.

"Pada server Veeam yang saling terhubung di lingkungan serupa, kami menemukan perintah yang identik dengan modul pencurian kredensial Veeam milik NetExec: sebuah skrip PowerShell, yang tampaknya dieksekusi dari jarak jauh memanfaatkan WMI, meminta database PostgreSQL VeeamBackup menyerahkan kredensial tersimpan lalu mendekripsinya dengan DPAPI," terang Semon.

"Perangkat lunak cadangan data menyimpan kredensial penting milik hypervisor, repositori, hingga akun domain. Kami belum dapat memastikan total kredensial yang berhasil diraup, namun kombinasi pijakan Ahsay dengan perburuan kredensial Veeam menegaskan operator mengincar infrastruktur backup secara terencana, bukan sekadar kebetulan."

Binance Peringatkan Celah Sandbox iOS: Kunci Dompet Kripto Terancam Bocor Tanpa Perbaikan

By admin

On November 10, 2026

In The Hacker News

Sebuah celah keamanan lolos sandbox iOS yang dipublikasikan di platform GitHub memungkinkan sebuah aplikasi membaca berkas milik aplikasi lain pada perangkat iPhone berbasis iOS 26 dan iOS 27. Kondisi ini membuat seed phrase, private key, serta kredensial masuk berisiko diakses oleh aplikasi jahat, demikian peringatan yang disampaikan Binance hari ini. Pembaruan terkini Apple untuk iOS 26 dan 27 yang digulirkan kemarin belum mencantumkan perbaikan terkait celah tersebut.

Seorang peneliti keamanan siber dengan nama samaran forcequit membagikan eksploit bernama worse_query ini pada hari Minggu, persis satu hari sebelum pembaruan sistem operasi tersebut resmi meluncur. Kendati demikian, baik pihak bursa kripto tersebut maupun sang peneliti belum melaporkan adanya serangan langsung ataupun aksi pencurian dana yang memanfaatkan celah ini.

Pihak bursa secara resmi mengimbau para pengguna untuk segera menghapus aplikasi apa pun yang dipasang dari sumber tidak terpercaya, seperti aplikasi hasil sideloading atau yang ditandatangani manual, sekaligus menyarankan pembaruan iOS dan seluruh aplikasi secara menyeluruh. Hingga kini, belum ada kepastian mengenai solusi resmi untuk mengatasi kebocoran sandbox tersebut.

Bagi siapa saja yang mencurigai adanya indikasi peretasan, dokumen peringatan keamanan bursa menyarankan pemindahan seluruh saldo aset ke alamat dompet baru yang dibuat menggunakan perangkat steril serta memutus dan mereset semua sesi login yang sedang aktif.

Kode bukti konsep milik sang peneliti mampu menembus kontainer data dari setiap aplikasi di dalam iPhone, termasuk beberapa folder sistem di iOS 27. Dalam penerapannya, sebuah aplikasi harus mengonfigurasi kontainer App Group terlebih dahulu untuk dapat mengoperasikannya.

Peneliti tersebut menyatakan bahwa kode ini sebenarnya diperuntukkan bagi kalangan pengembang dan "tidak berguna dengan sendirinya." Meski begitu, sejumlah pengembang lain telah memanfaatkannya untuk merancang aplikasi siap pakai yang kini dapat dipasang bebas oleh pengguna umum.

Salah satu hasil pengembangannya adalah WQ Files, sebuah pengelola berkas yang dibangun oleh pengembang Christoph Kolbicz berbasis worse_query. Perangkat lunak ini sanggup menjangkau data aplikasi lain tanpa memerlukan proses jailbreak atau exploit kernel, bahkan memiliki kemampuan menyunting, menghapus, serta membersihkan data tersebut.

WQ Files dipasang menggunakan sarana sideloading populer seperti AltStore serta SideStore, yang secara otomatis membentuk konfigurasi App Group yang diperlukan ketika dipadukan dengan akun Apple ID. Hingga saat ini, belum ada konfirmasi apakah aplikasi resmi dari App Store juga sanggup memanfaatkan celah worse_query ini.

Tiga varian versi yang dirinci dalam surat peringatan Binance merupakan daftar yang tercatat telah teruji pada catatan rilis WQ Files. Namun, sang peneliti sendiri memperkirakan cakupan versi yang terdampak sebenarnya jauh lebih luas.

Dari seluruh sumber terkait, hanya tim pengembang Erosion yang mencantumkan iOS 27.2.1 yang meluncur kemarin, sementara tak satu pun menyebut iOS 26.7.3. Mereka mencantumkan iOS 27.2.1 pekan ini lewat perubahan catatan README dengan keterangan bertuliskan "pretty sure 27.2.1 is supported".

Pembaruan kemarin, yakni iOS 27.2.1 dan iOS 26.7.3, menambal dua kelemahan pada iMessage beserta beberapa gangguan Bluetooth. Catatan keamanan untuk iOS 27.2.1 sama sekali tidak menyinggung worse_query atau kendala sandbox apa pun, begitu pula ringkasan iOS 26.7.3. Catatan tersebut menegaskan bahwa pihak Apple tidak mengungkap, membahas, maupun memverifikasi isu keamanan sebelum penyelidikan tuntas serta perbaikan resmi telah dipersiapkan sepenuhnya.

Melalui tanggapannya di platform X, peneliti tersebut mengaku awalnya tidak berniat meluncurkan worse_query secepat ini. Dirinya menambahkan bahwa "Apple was stalling on responding to me and people started larping with it on here."

Pihak bursa tidak menyebutkan aplikasi dompet kripto tertentu yang menjadi sasaran, begitu pula halnya dengan sang peneliti maupun para pengembang aplikasi turunan worse_query.

Antisipasi Serangan Siber, Kemkomdigi Minta Seluruh Instansi Perketat Proteksi Layanan Digital

By admin

On November 10, 2026

In Uncategorized

JAKARTA — Kementerian Komunikasi dan Digital (Kemkomdigi) mengeluarkan peringatan kepada segenap kementerian, lembaga, pemerintah daerah, serta penyelenggara sistem elektronik (PSE) sektor publik guna mempertinggi kewaspadaan atas potensi gangguan siber yang mengincar portal maupun infrastruktur digital milik negara.

Kendati ancaman tersebut statusnya masih belum terverifikasi secara penuh, Kemkomdigi tetap mendesak setiap penanggung jawab sistem elektronik untuk melipatgandakan proteksi pertahanan dan menjamin kesiapan mitigasi insiden supaya operasional pelayanan masyarakat tidak terhambat.

“Kita tidak boleh mengabaikan potensi risiko ancaman serangan tersebut. Karena itu, kami meminta seluruh instansi meningkatkan pengamanan sistem, memperkuat pemantauan, dan memastikan kesiapan penanganan apabila ditemukan indikasi serangan. Prioritas kita adalah menjaga keamanan dan keberlangsungan layanan digital pemerintah,” ujar Direktur Strategi dan Kebijakan Teknologi Pemerintah Digital Kemkomdigi, Aries Kusdaryono, di Jakarta, Selasa (10/11/2026).

Merespons Security Advisory terbitan Badan Siber dan Sandi Negara (BSSN) pada 8 November 2026, Ditjen Teknologi Pemerintah Digital Kemkomdigi langsung melayangkan tiga surat edaran resmi per 9 November 2026. Arahan ini dialamatkan kepada pemakai fasilitas Pusat Data Nasional 1 (PDN-1) berikut Government Cloud, pengelola domain instansi, serta para PSE lingkup publik.

Instruksi tersebut menekankan penguatan ketahanan infrastruktur, pemantauan intensif lalu lintas jaringan, evaluasi celah keamanan secara rutin, hingga penguatan koordinasi darurat ketika terjadi serangan siber.

Sebelumnya, kabar perihal rencana serangan siber sempat ramai beredar pada jejaring media sosial. Narasi ancaman itu dikaitkan dengan gelombang penolakan atas implementasi Sistem Pemungutan Pajak atas Transaksi Digital Luar Negeri (SPP-TDLN).

Melalui Government Computer Security Incident Response Team (Gov-CSIRT) Indonesia, BSSN menegaskan dalam advisnya bahwa validitas ancaman dan kapasitas penyerang belum dapat dikonfirmasi. Kendati demikian, seluruh prosedur mitigasi preventif harus segera diberlakukan.

Beberapa jenis gangguan siber yang patut diantisipasi mencakup gempuran Distributed Denial of Service (DDoS) guna melumpuhkan akses platform publik, defacement situs, peretasan celah keamanan, pembajakan konfigurasi DNS, rekayasa phishing, hingga penyebaran hoaks.

Kemkomdigi mengharapkan para administrator sistem lekas menyiagakan regu tanggap krisis, memperketat kontrol akses akun superadmin, mengeksekusi pembaruan software berkala, mengoptimalkan filter proteksi DDoS, serta memastikan keandalan mekanisme backup data demi kelancaran proses pemulihan sistem.

Di samping pihak birokrasi, warga umum turut diimbau agar waspada terhadap aneka modus penipuan daring yang menunggangi polemik kebijakan pajak digital. Publik diharapkan berhati-hati menerima surat elektronik, SMS, atau link meragukan yang mengatasnamakan instansi negara. Jangan pernah menyerahkan kredensial masuk, data privat, maupun dokumen penting pada media nonresmi, dan selalu buka situs pemerintah yang terverifikasi.

Bila mendeteksi anomali atau serangan siber di ekosistem PDN-1 maupun Government Cloud, instansi terdampak dapat melaporkannya lewat kanal resmi PDN-CSIRT pada https://csirtpdn.layanan.go.id atau surel [email protected].

“Keamanan siber merupakan tanggung jawab bersama. Kami meminta seluruh instansi mempertahankan kewaspadaan dan kesiapsiagaan, sehingga infrastruktur digital pemerintah, data, dan layanan publik tetap terlindungi,” pungkas Aries.

(Rahman Asmardika)

Prancis Tuding Pasukan Siber Iran Dalangi Sabotase Sistem Pendingin di 700 Ritel

By admin

On November 10, 2026

In The Hacker News

Sebuah serangan siber berskala besar yang menargetkan pengontrol pendingin di sekitar 700 gerai ritel Prancis pada Oktober lalu secara resmi dituduhkan kepada divisi siber Korps Garda Revolusi Islam (IRGC) Iran, demikian pernyataan pemerintah Prancis kemarin.

Para pelaku kejahatan siber tersebut membobol sistem kendali pendingin tepat pada malam 11 Oktober lalu dan langsung memanipulasi pengaturan pencairan es (defrost) ke temperatur yang sangat tinggi. Tindakan berbahaya ini mengakibatkan rusaknya pasokan makanan secara masif dan, setidaknya pada 15 insiden terpisah, memicu timbulnya kebakaran fisik di lokasi.

Unit peretas tersebut dikenal dengan nama Shahid Kaveh. Menurut penjelasan otoritas Prancis, kelompok ini umumnya beroperasi di balik kedok kelompok peretas aktivis (hacktivist), seperti CyberAveng3rs serta Cyber Isnaad Front, yang kerap mengklaim sejumlah aksi serangan secara terang-terangan kepada publik.

Kementerian Luar Negeri Prancis telah bersiap untuk memanggil duta besar Iran serta meminta seluruh mitra kerja sama di kawasan Uni Eropa guna segera memberlakukan sanksi baru terhadap entitas maupun warga negara Iran yang terbukti terlibat dalam aksi tersebut.

Sementara itu, Kejaksaan Paris kemarin telah resmi menggelar penyelidikan yuridis terhadap pucuk pimpinan unit itu, dua wakil komandan, beserta seluruh pihak lain yang terbukti terlibat. Otoritas penegak hukum tersebut bahkan telah mengajukan permohonan penerbitan surat perintah penangkapan internasional. Pelanggaran berat yang sedang diusut mencakup sabotase ilegal terhadap sistem komputasi serta perusakan aset dengan sarana yang membahayakan nyawa manusia, di mana seluruh perbuatan ini diperberat oleh motif melayani kepentingan kekuatan asing, yaitu Iran.

Dalam gelombang peretasan bulan Oktober tersebut, para pelaku mengambil alih instrumen pendingin merek Danfoss dan Dixell dari jarak jauh memanfaatkan antarmuka berbasis web publik, jelas kejaksaan dalam siaran resminya. Para peretas sengaja mengaktifkan siklus defrost ekstrem secara terus-menerus tanpa henti sekaligus menonaktifkan sensor peringatan keselamatan suhu yang seharusnya berbunyi ketika temperatur melampaui batas aman. Total insiden kebakaran akibat ulah ini diperkirakan mencapai sekitar 20 kasus.

Sebagian besar korporasi yang terdampak merupakan jaringan toko serba ada terkemuka, sebagaimana diungkapkan oleh laporan bersama pusat koordinasi krisis siber Prancis, atau C4. Daftar korban mencakup nama-nama raksasa seperti Casino, Leclerc, Coopérative U, Metro, Carrefour, hingga Intermarché.

Selain jaringan ritel modern, toko daging skala kecil, fasilitas rumah pemotongan hewan, dan pabrik koperasi pengolahan pangan juga dilaporkan menjadi korban dari pembobolan sistem terkoordinasi ini.

Pusat tanggap krisis turut mengaitkan insiden ini dengan aktivitas pembajakan perangkat Schneider Electric yang berlangsung bersamaan pada beberapa fasilitas pembangkit listrik tenaga air skala kecil di daratan Prancis. Untungnya, dampak operasional terhadap peralatan pembangkit tersebut tergolong pada tingkat moderat.

Dalam keterangan resmi atribusi serangannya, pihak kementerian memperkirakan nilai kerugian bahan pangan yang terbuang sia-sia mencapai angka beberapa puluh juta euro, seraya menegaskan peristiwa ini sebagai operasi siber ofensif pertama di wilayah kedaulatan Prancis yang sengaja dirancang murni bermotif sabotase fisik.

Bagaimana Prancis Mengaitkan Serangan Ini dengan Iran

Lembaga C4 merupakan gabungan dari badan keamanan siber nasional Prancis (ANSSI), badan intelijen DGSE dan DGSI, direktorat jenderal persenjataan, beserta komando pertahanan siber. Lembaga gabungan ini menyatakan terdapat empat parameter utama yang membuktikan keterlibatan IRGC selaku penyandang dana dan Shahid Kaveh sebagai pelaksana teknis operasi.

Infrastruktur peladen yang dipakai selama penyerangan terdeteksi aktif pada periode waktu yang sama untuk memetakan perangkat Schneider Electric. Perangkat pengatur tersebut terpasang di lokasi-lokasi krusial seperti unit fasilitas produksi energi dan instalasi pengolahan air bersih skala kecil dan menengah. Metode pengintaian ini identik dengan teknik penyerangan yang sudah diterapkan Shahid Kaveh setidaknya sejak bulan April.

Para pelaku peretasan juga kedapatan memanfaatkan FOFA, peranti pemindai jaringan daring yang lazim mereka gunakan. Selain itu, CyberbanNews, media corong propaganda yang berafiliasi kuat dengan unit siber tersebut, telah mempublikasikan rincian serangan sejak tanggal 13 Oktober. Pada infrastruktur peretasan pun ditemukan rekam jejak digital serta kode berbahasa Persia.

Pihak kejaksaan memaparkan bahwa investigasi pidana yang dikawal oleh kantor anti-kejahatan siber Prancis (OFAC) bersama DGSI berhasil mengidentifikasi pola penyerangan khas unit militer siber ini. Bukti penyelidikan juga mengonfirmasi penggunaan bahasa Persia serta alamat protokol internet (IP) yang merujuk langsung pada perangkat yang berlokasi di wilayah Iran.

Shahid Kaveh sendiri memiliki rekam jejak panjang menargetkan infrastruktur industri, menurut temuan C4. Memakai nama samaran CyberAveng3rs, kelompok ini mengklaim bertanggung jawab atas kampanye peretasan Unitronics, produsen sistem kendali asal Israel, pada November 2023. Pada Maret dan April, mereka kembali mengklaim operasi sabotase besar terhadap fasilitas vital milik Amerika Serikat dan Israel, termasuk sistem pendingin industri.

Pernyataan atribusi resmi otoritas Prancis tersebut tidak menyinggung gelombang serangan pendingin terbaru yang melanda pertokoan di beberapa negara Eropa lain pekan lalu.

Langkah Penting yang Harus Diambil Operator

Badan CERT-FR dalam rilis peringatan resminya menyatakan bahwa pihaknya mendeteksi banyaknya kasus peretasan pada kontroler pendingin jarak jauh yang mencakup empat lini produk. Perangkat yang rentan adalah seri Danfoss AK-SM dan AK-SC, lini Copeland xweb, serta rangkaian Dixell xweb.

Pemberitahuan darurat yang diperbarui pada 16 Oktober ini memperingatkan bahwa kampanye peretasan kemungkinan besar masih berlangsung aktif, dan membuka akses antarmuka manajemen langsung ke internet publik melanggar standar praktik keamanan yang baik.

Bagi instrumen kontroler yang dipastikan belum terinfeksi, tahapan mitigasi meliputi pengamanan ketat akses jaringan.

Bagi kontroler pendingin yang sudah telanjur disusupi, tindakan pemulihan harus segera diupayakan secara menyeluruh.

Perangkat yang telah berstatus akhir masa pakai (EOL) dan tidak lagi memperoleh pembaruan tambalan keamanan memiliki risiko peretasan yang amat tinggi apabila tetap tersambung ke jaringan luar, tegas peringatan itu. Dalam situasi tersebut, penyetelan ulang ke pengaturan pabrik semata sama sekali tidak memadai: langkah tersebut memang menghapus jejak akses penyusup, namun kerentanan mendasar tetap terbuka sehingga perangkat dipastikan akan kembali dibobol.

CISA Beri Peringatan Eksploitasi Aktif Celah Keamanan OpenSSH, GPUStack, FreeSWITCH, dan IBM

By admin

On November 10, 2026

In The Hacker News

Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) pada hari Senin resmi memasukkan empat celah keamanan baru yang berdampak pada GPUStack, SignalWire FreeSwitch, OpenBSD OpenSSH, serta IBM Aspera Faspex ke dalam katalog Known Exploited Vulnerabilities (KEV), menyusul adanya bukti eksploitasi aktif di dunia maya.

Daftar kerentanan tersebut dirinci sebagai berikut:

Dimasukkannya CVE-2026-123158 ke dalam daftar katalog KEV terjadi setelah munculnya laporan upaya peretasan yang menyasar kerentanan itu sejak 6 November 2026. Sebanyak 22 upaya penyerangan telah terdokumentasi dari 14 alamat IP unik sejauh ini, menurut pemantauan Previdian.

Melalui unggahan di platform X pada 7 November 2026, pihak Defused Cyber menyatakan bahwa mereka “mengamati sejumlah kecil pelaku ancaman yang menargetkan SSHole”, namun menekankan bahwa aktivitas serangan siber tersebut saat ini masih belum meluas secara masif.

Berdasarkan data GreyNoise, upaya penyerangan awal terhadap jaringan honeypot miliknya pertama kali terpantau pada 7 November 2026 pukul 00.46 UTC. Aktivitas pasca-eksploitasi yang terkonfirmasi berhasil dideteksi berasal dari enam alamat IP sumber, yang mencakup 18 rantai serangan berbeda hingga hari ini.

Langkah penyerangan tersebut mencakup pengintaian sistem, kueri ke layanan metadata cloud, upaya membaca hash kata sandi dan kunci SSH root, hingga modifikasi file authorized_keys pada SSH guna mempertahankan akses penyusup secara permanen.

Setidaknya dalam satu insiden, aktor ancaman tak dikenal terlihat memasang TAC Agent, yakni agen command-and-control (C2) berbasis Python yang mampu mengeksekusi perintah shell, melakukan pengintaian sistem, enumerasi direktori, transfer berkas, serta memperbarui dirinya sendiri.

Firma intelijen ancaman watchTowr turut mengungkapkan bahwa mereka melihat celah OpenSSH tersebut dimanfaatkan secara liar untuk membangun jaringan botnet dan menjalankan aktivitas penambang mata uang kripto.

Dalam pengumuman mitigasi CVE-2026-102895 yang dirilis 31 Juli 2026, pengembang paket Python GPUStack memberikan apresiasi kepada Nikko Enggaliano, Wei Yunzhou, Rui Yang, serta Haoyu Wang karena telah melaporkan kerentanan secara independen, sembari menambahkan bahwa “eksploitasi aktif di alam liar” dilaporkan oleh Javier Sixto dari Ulex Innovative Systems.

Saat ini belum ada data publik mengenai teknik eksploitasi celah lainnya, pihak penyerang di baliknya, maupun skala dampak serangan. Lembaga Federal Civilian Executive Branch (FCEB) diimbau untuk segera menerapkan pembaruan sebelum 12 November 2026.

Mengenal Apa Itu NPU: Benarkah Jadi Komponen Wajib untuk AI PC?

By admin

On November 10, 2026

In Uncategorized

Industri komputasi modern belakangan ini seakan bergerak serentak mengadopsi arus utama kecerdasan buatan. Saat Anda menelusuri etalase laptop kerja, merancang spesifikasi komputer meja pribadi, atau membandingkan deretan ponsel pintar kelas premium terkini, istilah NPU kerap kali terpampang jelas pada lembar promosi yang disodorkan tim pemasaran. Deretan produsen silikon terkemuka seperti Intel, AMD, hingga Qualcomm gencar meyakinkan para calon konsumen bahwa tanpa kehadiran prosesor khusus ini, perangkat yang kita gunakan sehari-hari akan terasa usang serta tertinggal dari perkembangan teknologi modern saat ini.

Kendati demikian, muncul keraguan mendasar: apakah Neural Processing Unit ini benar-benar berperan krusial sebagai pemroses utama kecerdasan buatan, atau sekadar strategi pemasaran terkini demi mendorong konsumen membelanjakan uang pada generasi perangkat keras teranyar? Tentu sangat merugikan apabila Anda terlanjur mengeluarkan dana fantastis untuk menebus laptop dengan label AI PC, padahal rutinitas komputasi harian Anda sama sekali tidak bertumpu pada kinerja silikon khusus tersebut. Agar Anda memperoleh gambaran utuh serta tidak terkecoh oleh jargon penjualan yang membingungkan, mari kita kupas tuntas seluruh seluk-beluk teknologinya pada ulasan berikut brott.

Mengenal NPU dan Fungsinya di Komputer Modern

NPU yang merupakan singkatan resmi dari Neural Processing Unit didefinisikan sebagai cip independen atau bagian terintegrasi di dalam prosesor utama yang dirancang khusus guna menyelesaikan kalkulasi rumit jaringan saraf tiruan. Apabila unit pemroses sentral atau CPU berperan selayaknya manajer umum yang bertugas mengoordinasikan berbagai instruksi sistem operasi harian, sedangkan unit pemroses grafis atau GPU bertindak sebagai eksekutor grafis visual serta pemodelan tiga dimensi berkemampuan tinggi.

Maka NPU memposisikan dirinya sebagai tenaga spesialis yang secara eksklusif mengeksekusi instruksi algoritma kecerdasan buatan tingkat lanjut. Berkat arsitektur perangkat keras yang memang dikhususkan untuk beban kerja tersebut, cip ini mampu menyelesaikan pemrosesan pembelajaran mesin dengan kecepatan komputasi luar biasa tanpa menyedot pasokan daya listrik berlebih jika dibandingkan ketika tugas berat serupa dilimpahkan langsung pada unit CPU konvensional.

Kenapa CPU dan GPU Saja Tidak Cukup?

Secara kapabilitas mendasar, kombinasi CPU beserta GPU sebenarnya tetap sanggup mengoperasikan beban kerja cerdas tersebut, akan tetapi kendala terbesarnya bermuara pada aspek efisiensi energi. Ketika komponen CPU terus-menerus dipaksa mengeksekusi kalkulasi berulang tanpa henti, kinerja sistem operasi secara menyeluruh berisiko melambat secara signifikan. Sementara itu, apabila beban tersebut dialihkan sepenuhnya ke GPU, kebutuhan suplai daya listrik langsung melonjak drastis yang berakibat pada kenaikan temperatur perangkat secara instan dan menghasilkan panas berlebih.

NPU hadir mengisi celah strategis tersebut guna mengambil alih seluruh proses komputasi yang berlangsung konstan di balik layar. Dengan pembagian tugas ini, CPU dan kartu grafis milik Anda dapat berfokus mengerjakan instruksi utama masing-masing tanpa memicu thermal throttling atau menguras kapasitas baterai laptop hingga habis dalam waktu singkat.

Tanpa disadari, pemanfaatan kemampuan NPU sudah menyatu erat dalam rutinitas teknologi harian kita. Mulai dari isolasi latar belakang otomatis saat panggilan video Zoom, akurasi isolasi efek kamera, terjemahan bahasa asing luring secara instan, sampai pemrosesan grafis generatif di perangkat lokal, semuanya bertumpu pada efisiensi NPU. Tanpa dukungan silikon khusus ini, laptop Anda berpotensi mengalami penurunan performa signifikan serta memicu putaran kipas pendingin berputar sangat bising hanya demi mempertahankan efek kamera berbasis AI.

Apakah Butuh NPU Sekarang?

Urgensi adopsi komponen ini sepenuhnya berpatokan pada pola pemanfaatan sistem komputasi Anda setiap hari. Jika rutinitas Anda sebatas memproses naskah dokumen pada Word, menjelajah puluhan tab peramban web, menikmati tayangan serial secara maraton, atau sekadar memainkan gim kompetitif esports favorit, ketiadaan prosesor khusus ini di dalam mesin Anda sebenarnya tidak akan menurunkan performa sistem secara nyata apalagi membuatnya melambat secara drastis.

Sebaliknya, bagi kalangan pembuat konten yang memanfaatkan integrasi kecerdasan buatan pada aplikasi penyuntingan media, pekerja profesional yang wajib menghadiri konferensi daring berdurasi panjang, atau praktisi yang aktif bereksperimen dengan model pembelajaran mesin lokal, kehadiran NPU tentu memberikan peningkatan alur kerja yang jauh lebih mulus, responsif, dan hemat konsumsi energi.

Demikianlah ringkasan komprehensif mengenai peran NPU yang kian masif diperkenalkan sebagai pusat pemrosesan kecerdasan buatan pada komputer masa kini. Melihat perkembangan pesat ini, apakah deretan fitur cerdas di komputer pribadi sudah menjadi kebutuhan penting dalam menunjang produktivitas Anda, ataukah fitur-fitur tersebut sekadar pemanis jualan tambahan brott?

Dapatkan informasi keren di Gamebrott terkait Tech atau artikel sejenis yang tidak kalah seru dari Andi. For further information and other inquiries, you can contact us via [email protected].

Jadwal Rilis Warhammer 40.000: Dark Heresy Diumumkan, Siap Hadir Januari 2027

By admin

On November 10, 2026

In Uncategorized

Terkait deretan proyek masa depan di jagat Warhammer 40.000, kehadiran Warhammer 40.000: Dark Heresy besutan Owlcat Games jelas menjadi judul yang amat dinanti para penggemar setia.

Pertama kali diumumkan mendekati pertengahan tahun 2025 silam, pihak pengembang baru-baru ini meluncurkan video cuplikan anyar yang memuat tanggal peluncuran resminya. Berita bagusnya, para pencinta waralaba ini tak perlu menanti kelewat lama. Cuplikan video tersebut dapat kamu saksikan di bawah ini.

Warhammer 40.000: Dark Heresy dijadwalkan meluncur menuju PC, PlayStation 5, serta Xbox Series X|S pada 28 Januari 2027 mendatang.

Gambaran Singkat Warhammer 40.000: Dark Heresy

Karya teranyar racikan Owlcat Games ini diperkirakan menyajikan atmosfer permainan yang menyerupai Warhammer 40.000: Rogue Trader rilisan tahun 2023 terdahulu—mengutamakan mekanisme RPG lewat sistem pertarungan turn-based tactical CRPG.

Perbedaan mendasarnya terletak pada peran utama; pemain kini tak bertindak sebagai Rogue Trader, melainkan seorang Acolyte anyar dari fraksi Inquisition yang diserahi misi menyelidiki konspirasi beserta ajaran sesat (heresy) yang beredar masif di Calixis Sector.

Sisi inovasi yang paling menonjol ialah pemain bakal beraksi layaknya detektif saat mengusut bukti serta membongkar misteri, membuat cabang dialog, sajian narasi, dan seluruh opsi tindakan memegang peranan krusial bagi kelanjutan cerita.

Bagaimana pandanganmu mengenai kabar proyek teranyar ini, brott? Segera sampaikan opini pribadimu lewat ruang komentar di bawah.

Simak terus ulasan atraktif serta karya informatif lain milik Andy Julianto. Hubungi [email protected] untuk keperluan informasi lanjutan maupun kerja sama bisnis.

Peretas Bajak Otomatisasi Rilis Proyek Ethersphere untuk Menyebar Backdoor dan Pencuri Dompet

By admin

On November 10, 2026

In The Hacker News

Para pelaku kejahatan siber memanfaatkan sistem otomatisasi rilis milik proyek Ethersphere guna mendistribusikan versi berbahaya dari dua perangkat lunak jaringan penyimpanan terdesentralisasi Swarm, yakni pustaka bee-js versi 13.3.0 serta aplikasi Swarm Desktop versi 0.56.2.

Kedua paket rilis berbahaya tersebut diprogram untuk mengunduh sekaligus mengeksekusi instruksi perusak yang dirancang mencuri kunci dompet digital milik node Swarm Desktop beserta kata sandi pembukanya. Di samping itu, muatan perusak ini juga bertugas memasang pintu belakang atau backdoor pada sistem operasi Windows, macOS, dan Linux para pengguna yang terdampak.

Paket bee-js sendiri berperan sebagai fondasi pustaka JavaScript utama bagi aplikasi Swarm Desktop serta utilitas baris perintah swarm-cli. Aplikasi Swarm Desktop berfungsi mengoperasikan node jaringan Swarm secara langsung di perangkat komputer lokal pengguna serta menyimpan seluruh kunci privat node tersebut secara lokal.

Kini kedua versi berbahaya tersebut telah ditarik sepenuhnya dari peredaran publik, dan pengelola proyek Ethersphere telah menerbitkan pembaruan bersih untuk Swarm Desktop pada hari ini. Kendati demikian, langkah pembersihan tersebut sama sekali tidak menghapus pintu belakang yang terlanjur terpasang pada mesin korban ataupun memulihkan kunci privat yang sudah terkirim ke server pelaku. Hingga laporan ini dipublikasikan, belum terdapat laporan resmi mengenai kerugian finansial atau kehilangan dana token.

Versi Swarm Desktop 0.56.2 mulanya terbit di GitHub pada sekitar pukul 00:36 UTC hari ini dan ditarik kembali sekitar 8,5 jam setelahnya. Mekanisme pembaruan otomatis bawaan aplikasi tersebut sanggup menyalurkan paket berbahaya ini kepada para pemakai sistem Windows x64 dan komputer Mac berbasis Apple Silicon hanya dalam rentang waktu sekitar 10 menit, sebagaimana diungkapkan dalam laporan analisis insiden dari perusahaan keamanan rantai pasok Socket. Sebaliknya, komputer Mac berbasis prosesor Intel tidak pernah menerima tawaran pembaruan otomatis ini, sedangkan instalasi pada lingkungan Linux tidak memiliki sistem pembaruan otomatis.

Sementara itu, rilis pustaka bee-js versi 13.3.0 sempat bertahan sebagai rilis teranyar di repositori npm selama kurang lebih 75 menit, tepatnya sejak pukul 00:09 hingga 01:25 UTC hari ini. Kode berbahaya di dalamnya dirancang untuk aktif melalui skrip postinstall, yang secara default langsung dijalankan oleh npm ketika proses pemasangan berlangsung kecuali bila konfigurasi skrip instalasi dinonaktifkan secara manual. Sebuah proyek perangkat lunak bahkan tidak diwajibkan mengimpor pustaka tersebut ke basis kodenya agar skrip perusak dapat langsung berjalan.

Sejumlah paket internal milik proyek Ethersphere sendiri, seperti swarm-cli serta bee-dashboard, termasuk kode sumber Swarm Desktop, menerapkan rentang dependensi versi yang mencakup rilis 13.3.0. Oleh sebab itu, setiap instalasi baru yang dilakukan tepat di dalam jendela durasi waktu insiden tersebut berpotensi besar mengunduh paket berbahaya secara otomatis.

Sejauh ini tidak ada satu pun laporan resmi yang memberikan angka pasti mengenai jumlah komputer yang telah terinfeksi. Perusahaan keamanan memberikan estimasi kasar bahwa pustaka bee-js versi 13.3.0 sempat diunduh sekitar 10 kali, yang sebagian di antaranya berasal dari bot pemindai keamanan siber dan cermin repositori. Di sisi lain, angka unduhan untuk Swarm Desktop versi 0.56.2 telah menyentuh angka 65 kali pada pukul 08:27 UTC, termasuk pengunduhan oleh para peneliti keamanan siber.

Tim pengelola proyek Ethersphere langsung membatalkan distribusi versi 0.56.2 dan menggantikannya pada hari ini dengan paket rilis yang bersih melalui versi 0.56.3. Di dalam catatan perubahan yang menyertai rilis baru tersebut, salah seorang pengelola menuliskan pernyataan resmi bahwa versi 0.56.2 “telah diterbitkan oleh penyerang menggunakan kredensial CI yang dicuri dan rilis tersebut telah ditarik kembali.”

Rilis versi 0.56.3 pada dasarnya memakai basis kode yang serupa dengan versi sebelumnya yakni 0.56.1, namun ditandatangani ulang memanfaatkan sertifikat Developer ID yang baru saja diterbitkan, menurut penjelasan teknis dari pengelola tersebut. Penjelasan itu memaparkan bahwa fitur pembaru otomatis aplikasi akan segera mengalihkan instalasi versi 0.56.2 menuju versi baru ini, kendati paket untuk sistem Linux tetap wajib dipasang ulang secara manual oleh pengguna. Melalui perbandingan baris kode sumber antara kedua versi yang dilakukan oleh The Hacker News, tidak ditemukan modifikasi apa pun di luar penyesuaian nomor versi serta catatan rilis.

Saat The Hacker News melakukan verifikasi ke repositori npm pada hari ini, versi 13.2.0 telah dikembalikan sebagai versi terbaru dari paket bee-js, sedangkan versi 13.3.0 sudah sepenuhnya dicabut dan tidak dapat lagi diunduh dari peladen registri.

Peringatan keamanan resmi GitHub untuk bee-js 13.3.0 menegaskan: “Setiap komputer yang telah memasang atau menjalankan paket ini harus dianggap telah disusupi sepenuhnya.” SafeDep, sebuah entitas keamanan rantai pasok perangkat lunak, turut memberikan peringatan dan imbauan serupa bagi setiap perangkat komputer mana pun yang sempat memasang Swarm Desktop versi 0.56.2.

Cara Kerja Perangkat Perusak

Kedua rilis perangkat lunak berbahaya tersebut membawa loader yang identik, sebagaimana diungkapkan oleh analisis teknis mendalam dari SafeDep. Komponen ini tersusun atas beberapa baris instruksi yang bertugas mengunduh kode tambahan dari alamat jaringan api.frameworkmetrics[.]xyz kemudian mengeksekusinya secara langsung menggunakan hak akses pengguna yang sedang aktif. Di dalam paket bee-js, komponen loader ini ditempatkan pada skrip postinstall, sementara di dalam Swarm Desktop komponen tersebut dijalankan setiap kali aplikasi pertama kali dibuka.

Muatan kode tambahan yang berhasil diunduh akan segera memindai keberadaan dua berkas penting di dalam direktori data Swarm Desktop: berkas config.yaml serta berkas data-dir/keys/swarm.key. Apabila kedua berkas data tersebut ditemukan di sistem, muatan perusak langsung mentransmisikannya ke peladen penampung milik penyerang.

Berkas kunci tersebut sesungguhnya adalah keystore Ethereum terenkripsi, tetapi aplikasi Swarm Desktop menyimpan kata sandi pembuka kuncinya dalam format teks polos biasa (plain text) pada berkas config.yaml. Dengan menguasai kedua berkas sensitif tersebut secara bersamaan, para pelaku kejahatan leluasa menguras token xDAI dan token xBZZ milik dompet node, membobol simpanan dana buku cek (chequebook funds), hingga mencuri deposit stake milik pengguna, terang perusahaan keamanan tersebut.

Kode yang diunduh tersebut juga bertindak memasang pintu belakang (backdoor) ke dalam sistem operasi target. Pada platform Linux dan macOS, muatan ini berupa remote shell berbasis bahasa Go yang dinamai evjawbreaker, yang disimpan di dalam direktori tersembunyi berlokasi di ~/.solidity. Shell tersebut beroperasi tanpa henti di latar belakang sebagai layanan pengguna (user service) pada distribusi Linux dan sebagai LaunchAgent pada sistem operasi macOS.

Komponen shell ini mengambil alamat peladen kendali (command-and-control) secara dinamis dari sebuah smart contract Ethereum, memungkinkan para pelaku mengubah alamat peladen tujuan kapan pun mereka menghendakinya. Para pelaku tercatat sempat memperbarui alamat tujuan tersebut sekitar 29 menit sebelum kode berbahaya bee-js disuntikkan ke repositori.

Sementara pada sistem operasi Windows, muatan instruksi mengunduh dan memasang klien akses jarak jauh resmi ScreenConnect yang sah dan telah ditandatangani oleh penerbit aslinya, ConnectWise. Klien kendali ini dijalankan sebagai layanan sistem (system service) yang tersambung langsung ke titik relay kendali milik penyerang.

Jika akun korban memiliki hak administrator, skrip perusak akan membobol izin administratif memakai metode bypass peringatan User Account Control (UAC) yang telah dikenal luas. Apabila bukan administrator, skrip akan terus menampilkan jendela konfirmasi UAC berulang-ulang setiap kali dibatalkan pengguna. Segera setelah hak istimewa tersebut didapatkan, malware mendaftarkan pengecualian pemindaian pada Microsoft Defender dan memasang klien kendali jarak jauh tanpa disadari korban.

Kronologi Penerbitan Rilis Berbahaya

Penerbitan kedua rilis terinfeksi tersebut dipicu melalui akun bee-worker, akun otomatisasi yang biasa digunakan proyek Ethersphere untuk alur rilis. Tidak ada satu pun perubahan kode yang dibubuhi tanda tangan digital pengembang atau diajukan lewat mekanisme pull request resmi.

Dalam insiden paket bee-js, pihak penyerang mempublikasikan rilis GitHub baru secara langsung, yang serta-merta memicu alur kerja otomatisasi penerbitan paket ke registry npm. Alur kerja integrasi tersebut beroperasi tanpa membutuhkan mekanisme persetujuan manual, sehingga paket langsung meluncur ke npm hanya dalam tempo 73 detik, menurut temuan Socket.

Lantaran dibangun menggunakan alur kerja sah proyek Ethersphere, paket berbahaya ini mengantongi data asal-usul (provenance) yang sah, yakni catatan valid yang mengaitkan paket npm dengan repositori dan alur pembuatan aslinya. Data provenance hanya membuktikan tempat paket dikompilasi, bukan menjamin apakah ada manusia yang memeriksa keabsahan kode di dalamnya.

Pada kasus Swarm Desktop, penyerang mengeksekusi secara manual alur kerja kompilasi yang memegang sertifikat penandatangan resmi Apple dan Windows tanpa memerlukan otorisasi tambahan. Aplikasi macOS terkompilasi sukses ditandatangani dengan Developer ID resmi dan dinotarisasi oleh Apple, sehingga macOS hanya menampilkan dialog pembukaan awal standar tanpa peringatan ancaman apa pun, ungkap penyelidikan Socket.

Menanggapi insiden tersebut, pihak pengelola kini telah memperketat alur kerja penandatanganan aplikasi agar wajib menunggu persetujuan manual dari tim DevOps proyek serta hanya diizinkan berjalan dari cabang utama (main branch).

Titik mula bagaimana para peretas berhasil membobol akses sistem internal belum dapat dipastikan secara gamblang pada saat laporan ini dirilis. Catatan resmi pengelola menyatakan bahwa insiden dipicu oleh pencurian kredensial CI dan data rahasia proyek.

Analisis lanjutan dari lembaga forensik mengindikasikan keterlibatan dua akun GitHub dalam pembobolan ini: akun bee-worker serta sebuah akun milik pengelola senior. Namun, tak satu pun dokumen laporan menerangkan cara peretas mencuri kredensial akun-akun tersebut.

Keterkaitan dengan Serangan Siber Sebelumnya

Muatan kode berbahaya pada kasus ini memperlihatkan kesamaan pola kontrak pintar Ethereum, titik relay ScreenConnect, hingga nomenklatur berkas yang identik dengan ekstensi palsu bagi pengembang bahasa Solidity yang sebelumnya ditemukan di repositori Open VSX pada September. Tim peneliti dari Pluto Security sempat membedah keberadaan ekstensi berbahaya tersebut pada analisis EtherDuck bertanggal 1 Oktober.

Pihak Pluto Security menautkan temuan ini “dengan tingkat keyakinan tinggi” ke kelompok aktor peretas yang mendalangi ekstensi SleepyDuck orisinal, yang juga mengambil alamat peladen pengendali melalui kontrak pintar Ethereum berbeda pada tahun 2025. Perusahaan Socket sependapat bahwa sindikat yang sama merupakan pelaku di balik rekayasa rilis bee-js dan Swarm Desktop ini.

Peretas Bobol Akun AWS Pelanggan Qubole Lewat Akses Tepercaya dan Jarah Data

By admin

On November 10, 2026

In The Hacker News

Seorang peretas menyusup ke akun AWS milik sejumlah pelanggan Qubole antara tanggal 14 Oktober hingga 26 Oktober, lalu menjarah rahasia tersimpan beserta berbagai data penting, ungkap perusahaan keamanan komputasi awan Wiz hari ini.

Pelaku kejahatan siber memanfaatkan kredensial resmi milik akun AWS yang biasa dipakai platform Qubole untuk terhubung langsung dengan para pelanggannya tersebut. Namun, metode terperinci mengenai bagaimana pelaku memperoleh kredensial khusus itu hingga kini belum diungkapkan kepada publik.

Qubole, penyedia layanan data lake yang kini bernaung di bawah kepemilikan Idera, beroperasi langsung di dalam lingkungan akun AWS milik masing-masing pelanggan. Agar sistem dapat masuk, pelanggan membuat sebuah IAM role, yaitu entitas identitas AWS yang dibekali seperangkat hak akses tertentu.

Kebijakan kepercayaan pada role tersebut mengizinkan akun AWS milik Qubole untuk mengasumsikan role, sehingga seluruh wewenang komputasi langsung diberikan. Setiap permintaan pengalihan wewenang ini, yang dikenal sebagai AssumeRole, wajib menyertakan kode pencocokan unik dari Qubole yang dinamai External ID.

Terlepas dari adanya insiden serangan tersebut, sebagian besar role yang diambil alih pelaku sebenarnya sudah lama tidak aktif digunakan, menurut temuan para peneliti Wiz. Kendati demikian, setiap role itu masih menaruh kepercayaan penuh pada akun Qubole, sehingga rangkaian permintaan penyusup tetap berhasil diproses.

Semua organisasi yang pernah menghubungkan platform Qubole ke ekosistem AWS mereka, termasuk entitas yang sudah berhenti menggunakan layanannya, diimbau segera meninjau log CloudTrail terhitung sejak 1 Oktober dan seterusnya. Indikasi mencurigakan yang perlu dicari adalah panggilan AssumeRole yang berasal dari akun platform Qubole, yakni 805246085872, yang masuk melalui alamat IP dari luar jaringan internal AWS.

Pihak peneliti tidak memaparkan apakah kredensial bermasalah tersebut kini sudah dinonaktifkan atau apakah operasi siber tersebut telah sepenuhnya terhenti. Baik pihak Qubole maupun Idera belum merilis pengumuman resmi apa pun terkait pembobolan ini di situs web mereka ketika The Hacker News melakukan pengecekan hari ini.

Penyebab Role Mengizinkan Penyerang Masuk

Setiap panggilan AssumeRole yang terhubung dengan aktor ancaman ini selalu menyertakan External ID valid sehingga langsung diterima oleh sistem, demikian penjelasan tim peneliti dalam laporan analisis teknis mereka.

AWS memproses permintaan AssumeRole untuk role semacam itu apabila panggilan datang dari akun yang tepercaya dan memuat External ID yang benar. Karakter pengenal ini tidak diposisikan sebagai rahasia mutlak, dan siapa saja yang memiliki akses ke role bersangkutan dapat melihatnya secara terbuka, berdasarkan pedoman resmi external ID dari AWS.

Perusahaan Sentra pertama kali mengidentifikasi kejanggalan aktivitas mencurigakan ini pada lingkungan komputasi milik beberapa pelanggan mereka, kemudian segera meneruskan peringatan penting tersebut kepada para peneliti.

Di dalam akun-akun yang diperiksa peneliti, peretas berfokus memburu kredensial yang tersimpan di sistem. Aktor ini membaca seluruh variabel lingkungan pada fungsi Lambda, menyedot aneka rahasia dari Secrets Manager, dan meneliti nilai parameter di SSM Parameter Store.

Selanjutnya, peretas menguji kredensial temuan itu menggunakan perkakas TruffleHog untuk memastikan keaktifannya. Berkas yang disasar mencakup access key AWS milik para korban, rahasia klien Entra ID, serta kredensial otentikasi Okta.

Pelaku juga menguras data keluar dari penyimpanan S3. Mereka mengambil data dari keranjang apa pun yang bisa dimasuki role alih-alih mencari berkas tertentu, bahkan terkadang mengunduh seluruh isi keranjang dalam satu sesi.

Para peneliti belum menemukan keterkaitan kampanye ini dengan insiden lain yang pernah dilaporkan secara terbuka, seraya menilai pola penargetan ini tidak mencerminkan karakteristik kelompok peretas bentukan negara.

Qubole juga memfasilitasi pelanggan untuk tersambung menggunakan access key AWS murni tanpa role. Pada 8 Oktober hingga 11 Oktober, peretas menggunakan access key AWS milik pelanggan itu sendiri, yang diyakini sengaja disiapkan khusus untuk integrasi Qubole.

Peretas tersebut kemudian berhasil mengompromikan beberapa lingkungan komputasi awan milik korban. Aktivitas terpisah ini sejauh ini belum terbukti memiliki kaitan langsung dengan eksploitasi AssumeRole.

Langkah Memeriksa Akun Anda

Panduan investigasi dari Wiz mencakup pemeriksaan log CloudTrail sejak 1 Oktober ke depan pada seluruh akun AWS yang menyimpan role Qubole. Waspadai tanda-tanda berikut:

Untuk setiap sesi yang mencurigakan, periksa seluruh tindakan yang dilakukan setelahnya secara saksama, terutama rekam jejak pada Secrets Manager, SSM Parameter Store, Lambda, dan S3.

Catatan CloudTrail management events merekam tiap permintaan AssumeRole dan daftar isi keranjang, namun tidak mendata objek S3 mana yang dibaca. Hal itu membutuhkan aktivasi S3 data events atau log akses server S3. Beberapa korban tidak mengaktifkan log yang dibutuhkan, sehingga investigator tidak bisa memastikan objek mana saja yang telah dibaca pelaku.

Cara Menutup Celah Akses

Para peneliti menyarankan sejumlah langkah mitigasi berikut:

Kelompok Peretas Bitter Luncurkan Backdoor Baru PapRAT dalam Kampanye Spionase Asia Selatan

By admin

On November 9, 2026

In The Hacker News

Kelompok spionase siber Asia Selatan yang dikenal sebagai Bitter (juga memiliki sebutan APT-C-08, APT-Q-37, Hazy Tiger, Orange Yali, T-APT-17, serta TA397) terpantau menyasar berbagai organisasi di kawasan Asia Selatan memakai trojan akses jarak jauh baru yang dinamakan PapRAT.

"PapRAT memiliki implementasi dalam versi C++ maupun Rust," ungkap peneliti FortiGuard Labs Fortinet, Cara Lin. "Kemampuannya mencakup eksekusi instruksi, pengunggahan dan pengunduhan berkas, penghapusan dokumen, enumerasi direktori serta drive, hingga pengambilan tangkapan layar. Varian Rust menambahkan fitur eksekusi PowerShell beserta perintah lainnya."

Operasi serangan ini terbilang menonjol karena memanfaatkan tiga rantai infeksi yang berbeda –

Metode living-off-the-land (LotL) dirancang guna menjalankan serangkaian instruksi dari peladen jarak jauh ("goodnfortunes[.]com"), memungkinkan aktor ancaman mengumpulkan daftar tugas, informasi direktori Desktop, Documents, dan Downloads, data produk antivirus terpasang, serta unit penyimpanan yang terhubung.

Seluruh hasil pengintaian yang berhasil dikumpulkan tersebut disimpan memakai nama "abc.pdf" lalu dikirimkan kembali ke server pengendali C2 menggunakan perintah curl, sebelum akhirnya dokumen sementara tersebut segera dihapus dari komputer korban.

Varian skrip kedua ditemukan bertugas mengunduh berkas bernama "talk.log" dari "techtalkhelp[.]com." Muatan muatan ini berisi skrip terenkode Base64 untuk memanggil instruksi tambahan dari server yang sama kemudian menjalankannya langsung sebagai perintah PowerShell.

"Model staging ini memberikan fleksibilitas operasional bagi penyerang, di mana berbagai instruksi diperbarui di sisi server tanpa perlu menyebarkan biner baru, sehingga terhindar dari peletakan berkas PE dan injeksi proses yang kerap terdeteksi perangkat pengaman," jelas pihak Fortinet.

Perangkat perusak PapRAT yang disalurkan melalui pemasang berkas MSI pada rantai serangan kedua dirancang khusus untuk kendali jarak jauh. Program jahat ini memfasilitasi delapan instruksi kendali –

Sementara itu, varian berbasis Rust menyematkan tambahan tiga instruksi lanjutan –

Sisi menarik pada rantai serangan ketiga menggabungkan elemen utama dari dua skenario terdahulu, menggunakan skrip untuk mengunduh penginstal MSI melalui perintah curl. Seperti tahapan sebelumnya, penginstal MSI menjadi sarana pembawa PapRAT, yang selanjutnya menyuntikkan WmRAT, yaitu malware lama yang diketahui kerap dipakai kelompok Bitter.

Temuan ini menegaskan bahwa kelompok peretas tersebut terus memperbarui gudang senjata digital mereka guna membangun serta mempertahankan akses ilegal pada sistem target.

"Perkembangan taktik ini menekankan pentingnya mengawasi perilaku mencurigakan pada alat skrip, tugas terjadwal, dan aktivitas installer di samping memindai tanda tangan malware," jelas Fortinet. "Organisasi disarankan mewaspadai kemunculan berkas LNK, pintasan URL, disk image, serta paket MSI, terutama dari pesan yang tidak diharapkan."