Tag: Keamanan Siber Page 2 of 5

Para pelaku ancaman siber tercatat meluncurkan sekitar 8.226 serangan distributed denial-of-service (DDoS) lapisan jaringan per jam, ungkap Cloudflare pada hari Kamis.

Perusahaan keamanan dan infrastruktur web ini menyatakan berhasil meredam secara otomatis 18,2 juta serangan DDoS lapisan jaringan (L3) serta 14,4 triliun permintaan DDoS HTTP pada kuartal ketiga tahun 2026. Angka tersebut setara dengan 197.400 serangan setiap hari, atau satu insiden per 0,44 detik.

Sebagai perbandingan, sebanyak 13,2 juta dan 10,0 juta serangan L3 DDoS masing-masing tercatat pada kuartal kedua dan kuartal pertama tahun 2026. Lonjakan ancaman ini berkaitan erat dengan layanan sewaan booter atau stresser DDoS yang memicu ratusan ribu aksi penyerangan.

"Serangan berdurasi singkat dan ber-bandwidth rendah di bawah 10 menit serta 1 Gbps melonjak drastis sebesar 208%," jelas tim intelijen ancaman Cloudforce One dalam Laporan Ancaman DDoS kuartalan yang dibagikan kepada The Hacker News.

Tren menarik lainnya terlihat pada penurunan serangan hiper-volumetrik di atas 1 Tbps sebesar 69% dari kuartal lalu—merosot dari 805 serangan pada Q2 menjadi 251 pada Q3—kemungkinan berkat penindakan hukum terhadap kelompok AISURU, KimWolf, JackSkid, dan Mossad pada Maret lalu.

Meski begitu, ancaman belum sepenuhnya musnah mengingat kemunculan varian-varian baru seperti Dysphoria dan Evooo1Bot, Cloudflare memperingatkan.

Pergeseran signifikan lain mencakup penyusutan serangan Connectionless Lightweight Directory Access Protocol (CLDAP) flood, sedangkan DNS amplification justru melesat 215% hingga mencakup 3,43% dari seluruh serangan lapisan jaringan.

Sektor industri yang paling banyak menjadi sasaran meliputi media, produksi, dan penerbitan; teknologi informasi dan layanan; perjudian dan kasino; perangkat lunak komputer; serta operator telekomunikasi.

Amerika Serikat, Tiongkok, Indonesia, Inggris, dan Turki menempati daftar negara paling sering diserang selama periode tersebut, sementara Kanada dan Israel menembus jajaran sepuluh besar akibat serangan masif pada sektor ritel, telekomunikasi, dan pemasaran di Kanada.

Malware NetamLoader Incar Sistem Windows 10 Milik Pemerintah di Kawasan Asia

By admin

On November 2, 2026

In The Hacker News

Pakar keamanan siber baru saja membongkar rincian terkait rangkaian infeksi yang terbilang amat mutakhir dengan target utama entitas lembaga pemerintah di wilayah Asia.

Aktivitas siber yang dipaparkan oleh pihak Kaspersky pekan ini menyasar sebuah kompilasi Windows 10 modifikasi khusus yang dioperasikan secara eksklusif oleh lembaga pemerintah Asia, dengan mengandalkan kerangka pemuatan rakitan .NET yang baru pertama kali didokumentasikan dan dinamai NetamLoader.

Hingga saat ini aksi penyerangan tersebut belum dapat dikaitkan dengan kelompok ancaman maupun aktor peretas tertentu yang telah dikenal. Peneliti pun belum memastikan apakah penyusupan ini melumpuhkan lebih dari satu perangkat serta berhasil memberi jalan bagi pelaku untuk menggondol berkas rahasia.

Perusahaan keamanan siber asal Rusia itu menjelaskan temuan artefak berbahaya tersebut mula-mula terdeteksi pada paruh pertama tahun 2026. Berkas itu tersimpan rapi di dalam arsip cabinet Windows (CAB) pada sebuah direktori yang lazimnya digunakan sistem operasi untuk menampung paket-paket pembaruan.

Operasi peretasan ini diduga kuat menerapkan metode rantai pasok (supply chain attack), di mana komplotan jahat membobol vendor pihak ketiga yang terpercaya demi menerobos akses pengguna hilir yang menggunakan piranti lunak maupun layanannya.

Sampel berbahaya yang diselidiki memuat berkas konfigurasi “.config” yang mengeksploitasi teknik injeksi AppDomainManager guna mengeksekusi rakitan .NET tanpa izin. Injeksi AppDomainManager adalah metode peretasan yang membajak mekanisme AppDomainManager kepunyaan .NET Framework kala program .NET mulai dijalankan guna memasukkan muatan berbahaya.

Dengan kata lain, strategi ini memanfaatkan inisialisasi domain aplikasi di dalam .NET Framework untuk memperoleh eksekusi kode tersembunyi. Dampak akhirnya setara dengan taktik DLL sideloading, yakni mengoperasikan kode berbahaya secara terselubung di dalam proses aplikasi resmi sehingga luput dari deteksi sistem pengamanan.

Kaspersky mencatat arsip CAB yang mengangkut berkas konfigurasi itu awalnya ditempatkan pada rute sistem: “C:WindowsSoftwareDistributionDownloade4537a1762fcafd2fd96bfc825bad34f9db9a24,” sebelum seluruh isinya diekstrak secara otomatis ke dalam lokasi “C:WindowsSoftwareDistributionDownloadInstall.”

Jalur transmisi awal pengiriman arsip CAB tersebut sejauh ini belum berhasil dipastikan. Di dalam arsip ditemukan tujuh berkas berbeda, dengan empat di antaranya merupakan modul orisinal sah dari Patch My PC, sebuah peranti lunak manajemen endpoint –

Tidak ditemukan instruksi berbahaya pada berkas-berkas tersebut kecuali pada komponen “Resources.resx”. Jalur serangan infeksi ini dijalankan melalui skema dua tahapan operasi sebagai berikut –

Penjelasan ringkas mengenai muatan berbahaya tersebut tertera di bawah ini –

“Apabila server C2 memberikan respons yang valid, perulangan bakal berhenti sementara selama 5-6 menit sebelum mengajukan permintaan berikutnya; jika tidak ada, proses terhenti selama 22-28 jam sambil melakukan pemeriksaan berkala tiap 10 menit guna memastikan apakah batas waktu telah berakhir,” ungkap Kaspersky.

Data telemetri yang dihimpun tim Kaspersky menemukan satu entitas korban di wilayah Asia, dengan rancangan NetamLoader yang dikhususkan merusak versi Windows 10 khusus kepemerintahan. Kendati nama negara Asia itu dirahasiakan, indikasi kuat mengarah ke China mengingat Microsoft memiliki versi khusus bertajuk Windows 10 China Government Edition yang dirancang khusus bagi pemerintah serta BUMN China.

Pada awal Agustus lalu, Bloomberg memberitakan Kementerian Keamanan Negara China telah menginstruksikan sejumlah badan pemerintah agar menyetop pemakaian “Government Edition” dan beralih ke distro Linux lokal guna menekan ketergantungan pada teknologi luar negeri.

“Instruksi dari Beijing tersebut dilandasi oleh kecemasan atas keamanan data nasional,” sebut laporan Bloomberg dengan merujuk penuturan “sejumlah narasumber yang memahami persoalan tersebut.” Tidak ada rincian keterangan tambahan yang diungkapkan pada waktu itu.

“Dalam situasi iklim geopolitik masa kini, semakin banyak negara giat mendirikan platform perangkat lunak inti mereka sendiri, meliputi sistem operasi, pangkalan data, middleware, dan layanan komputasi awan, dengan sistem operasi kerap menjadi agenda prioritas teratas,” pungkas Kaspersky.

“Keuntungannya adalah setiap negara memegang kendali penuh atas rekayasa, pengoperasian, serta peningkatan mutu sistem operasi miliknya secara mandiri. Namun di sisi lain, kondisi itu mengharuskan negara melindungi seluruh ekosistem raksasa tersebut seorang diri. Membawa operasional serta pemeliharaan sistem seperti ini ke tahap matang menuntut proses yang sangat panjang.”

Peretas Kuras Rp42 Miliar Milik Trader Polymarket Lewat Pembajakan Skrip DebugBear

By admin

On November 1, 2026

In The Hacker News

Injeksi skrip berbahaya pada situs pasar prediksi Polymarket memaksa penjualan aset milik pengguna terdaftar dan mengalihkan dana hasil curian tersebut ke alamat pelaku kejahatan siber pada 29 Oktober. Muatan berbahaya itu disisipkan menggantikan skrip pemantau kecepatan halaman web resmi yang didatangkan platform dari vendor pihak ketiga.

Manajemen Polymarket menyatakan kesiapan untuk mengganti rugi dana senilai sekitar 2,7 juta dolar AS kepada 726 dompet digital yang terdampak langsung. Berdasarkan pelacakan catatan rantai blok, aset kripto senilai kurang lebih 2,64 juta dolar AS terkonfirmasi masuk ke dalam dompet digital milik peretas dalam kurun waktu tidak sampai satu jam.

Skrip yang dimanipulasi tersebut merupakan komponen milik DebugBear, penyedia layanan pemantauan pengguna nyata atau real user monitoring (RUM) yang bertugas mengevaluasi kecepatan pemuatan situs web dari sisi pengunjung aktual.

Para peneliti keamanan siber di Hudson Rock sukses mengunduh berkas berbahaya tersebut pada 29 Oktober langsung dari alamat sumber pemuatan skrip DebugBear di portal Polymarket. Mereka pun menemukan bukti modifikasi kode sumber internal Polymarket yang dengan cepat mencabut skrip DebugBear dari sistem.

Pihak DebugBear memberikan pernyataan resmi melalui platform X bahwa entri DNS mereka telah dibajak melalui registrar domain yang menaunginya. Kesimpulan awal investigasi mereka memperlihatkan bahwa serangan ditargetkan secara khusus kepada portal salah satu klien saja. Perusahaan belum menemukan indikasi peretasan pada infrastruktur internal mereka sendiri, kendati penelusuran mendalam masih berlangsung.

Sementara itu, tim analis Ohey mendeteksi adanya server asing yang melayani permintaan alamat web DebugBear pada pukul 18:13 UTC, saat berkas jahat tersebut masih beroperasi secara online. Pada waktu yang lebih awal di hari yang sama, berkas skrip yang sah sejatinya disalurkan secara aman melalui Google Cloud Storage. Setiap pengguna DebugBear memang memuat salinan skrip tersendiri, dan berkas yang ditukar paksa dalam insiden ini secara spesifik merupakan skrip kepunyaan Polymarket.

Mekanisme Pembobolan Dana Melalui Skrip

Kode jahat ini bekerja dengan memanfaatkan hak akses sah milik pengguna yang sedang terhubung dan membuka situs Polymarket, sebagaimana diungkap Hudson Rock pasca-analisis statis terhadap berkas tersebut tanpa menjalankannya. Skrip tersebut membaca kredensial akun yang tersimpan di dalam peramban web korban, termasuk kunci API perdagangan.

Kunci API tersebut sebenarnya tidak memiliki kemampuan independen untuk mengeksekusi pesanan secara otomatis di platform Polymarket, mengingat setiap transaksi mutlak memerlukan tanda tangan digital dari dompet kripto. Peneliti Hudson Rock tidak menjumpai satu pun instruksi dalam skrip yang bertugas mengekstraksi kunci API, kata sandi, frasa pemulihan, atau kunci privat untuk dikirimkan ke peladen milik pelaku.

Alih-alih mentransfer data sensitif keluar, skrip memilih memindai kode halaman antarmuka Polymarket demi mencari modul pembuat pesanan serta mekanisme penandatangan transaksi yang berwenang memvalidasi pergerakan akun korban.

Dari tahap ini, skrip melancarkan aksinya melalui dua skema berbeda. Untuk akun yang masuk menggunakan dompet kripto pribadi secara langsung, skrip langsung memindahkan posisi perdagangan trader secepatnya menuju dompet peretas. Sementara untuk akun yang terdaftar menggunakan alamat email, skrip menjual kepemilikan posisi pada nilai pasar yang sengaja diturunkan drastis sebelum akhirnya menarik keluar seluruh uang tersebut.

Pada kedua skenario operasi itu, skrip memicu komponen penandatangan milik pengguna untuk mengesahkan berkas permintaan, kemudian menyodorkannya ke relayer Polymarket yang akan mengeksekusi transaksi ke jaringan. Pihak Hudson Rock menggarisbawahi bahwa adanya permintaan penandatanganan tidak serta-merta membuktikan transaksi terjadi tanpa sepengetahuan pengguna. Penyedia dompet kripto tetap memiliki kapasitas untuk memunculkan notifikasi, membatalkan transaksi, atau menerapkan protokol pembatasan sesi.

Dompet penampung yang ditanamkan dalam kode jahat tersebut tercatat menerima gelombang dana pertama pada pukul 17:10 UTC dan transaksi terakhir pada 18:02 UTC, menurut data pelacakan blockchain Ohey. Selama rentang waktu kritis tersebut, alamat peretas mengumpulkan sebanyak 28,6 juta token POL serta berbagai kontrak posisi perdagangan dari 33 alamat dompet berbeda.

Tepat pada pukul 18:19 UTC, simpanan sebanyak 28,6 juta token POL tersebut diestimasi bernilai sekitar 2,64 juta dolar AS berdasarkan kalkulasi harga 0,0922 dolar AS per token dari DefiLlama yang dirilis oleh DefiPrime. Jumlah valuasi ini murni mencakup token POL dan belum memperhitungkan nilai aset dari posisi kontrak perdagangan yang ikut dirampas.

Berdasarkan riwayat transaksi rantai blok, dompet milik penyerang lantas mendistribusikan seluruh 28,6 juta token POL ke tiga alamat penampung lanjutan antara pukul 18:28 hingga 18:38 UTC.

Langkah Tanggap Darurat dan Kompensasi Polymarket

Polymarket mempublikasikan pemberitahuan resmi pertama perihal aktivitas mencurigakan pada dompet pengguna pada pukul 17:38 UTC. Selanjutnya pada pukul 18:05 UTC, mereka mengumumkan pengalihan operasional bursa ke status cancel-only, dibarengi dengan pembekuan seluruh aktivitas relayer.

Pihak pengelola memastikan bahwa skrip berbahaya tersebut berhasil dimusnahkan secara menyeluruh dalam rentang waktu satu jam. Manajemen juga segera mengosongkan seluruh cache data, memutus paksa seluruh sesi login aktif, serta menunda aktivitas perdagangan hingga sistem dipastikan steril. Permasalahan hukum ini telah diteruskan secara resmi kepada aparat berwenang.

Per tanggal 30 Oktober, sebanyak 689 dari total 726 dompet yang terdampak telah menerima penggantian saldo secara utuh, sementara 37 dompet sisanya diselesaikan bertahap seiring proses validasi. Di samping itu, Polymarket menggelontorkan kompensasi tambahan sebesar 1,19 juta dolar AS kepada sekitar 5.500 pemilik dompet yang merugi akibat pembekuan transaksi maupun hilangnya posisi. Total keseluruhan dana pengembalian yang disalurkan mencapai 3,9 juta dolar AS.

Para trader tidak diwajibkan mengajukan klaim ganti rugi secara manual. Meski demikian, portal status Polymarket tetap menyediakan tautan formulir pengaduan bagi pengguna yang merasa nominal pengembalian mereka tidak sesuai atau belum menerima hak kompensasi.

Langkah Pencegahan bagi Operator Situs dan Pengguna

Pihak DebugBear telah mengeluarkan imbauan kepada seluruh klien produk RUM mereka untuk segera mencabut kode sematan dari situs masing-masing. Alamat peladen yang menyebarkan berkas manipulasi, cdn.debugbear[.]com, dilaporkan sudah kehilangan catatan DNS ketika diperiksa oleh The Hacker News pada 1 November.

Polymarket menyatakan bahwa pengintegrasian kembali skrip dari vendor luar akan disertai pengamanan berlapis yang jauh lebih ketat, mencakup penguatan Content Security Policy (CSP), penguncian versi berkas secara spesifik, hingga penerapan sistem isolasi sandboxing.

Saran lanjutan dari Hudson Rock bagi para pengelola situs yang memanfaatkan skrip eksternal:

Saran Hudson Rock kepada kalangan trader adalah untuk selalu menolak setiap permintaan penandatanganan transaksi digital yang mencurigakan atau muncul tanpa dipicu oleh aksi sadar pengguna.

Celah Kritis CVSS 10.0 di LXD dan MicroCloud Memungkinkan Peretasan Tanpa Private Key

By admin

On November 1, 2026

In The Hacker News

Sebuah kerentanan dengan tingkat keparahan kritis pada Canonical LXD dan MicroCloud memungkinkan peretas masuk sebagai klien tepercaya tanpa memerlukan kunci privat milik klien tersebut. Agar peretasan ini berhasil, pelaku kejahatan siber hanya membutuhkan koneksi jaringan menuju API HTTPS milik target serta mengantongi sertifikat publik milik klien yang sah.

Ketika penyusup berhasil menerobos sistem, pelaku akan bertindak seolah-olah menjadi klien tersebut, sehingga memperoleh kendali atas kluster dan seluruh mesin virtual di dalamnya. Apabila akun yang ditiru memiliki hak istimewa, peretas bahkan berpotensi mendapatkan "akses root ke mesin host," demikian konfirmasi dari pihak Canonical.

Celah keamanan ini dicatat dengan kode identifikasi CVE-2026-112816 dan mendapatkan skor CVSS maksimal yakni 10.0. Canonical kini telah meluncurkan pembaruan penambal keamanan resmi untuk kedua produk buatannya tersebut.

Mekanisme Kerja Kerentanan

LXD dan MicroCloud pada dasarnya mengizinkan klien jarak jauh mengakses antarmuka API melalui mekanisme mutual TLS. Skema autentikasi ini mengharuskan setiap klien menunjukkan sertifikat digital demi membuktikan identitas aslinya. Suatu klien dianggap tepercaya jika sertifikatnya terdaftar di dalam trust store server, yaitu daftar identitas resmi yang diizinkan untuk masuk.

Kelemahan fatal ini bermula dari cara peladen memverifikasi sertifikat yang dikirimkan. Sistem mencocokkan setiap sertifikat di dalam rantai terhadap trust store. Padahal, koneksi TLS standar hanya memvalidasi kepemilikan kunci privat pada sertifikat pertama di rantai tersebut, yang dikenal sebagai leaf certificate. Sementara itu, sertifikat sisanya di dalam rantai merupakan data tambahan bebas yang dilampirkan oleh klien.

Situasi tersebut membuat penyerang dapat mengambil sertifikat publik klien tepercaya yang tidak bersifat rahasia, lalu menyematkannya di belakang sertifikat milik mereka sendiri. Server lantas terkecoh dan langsung menganggap penyerang sebagai klien yang sah.

Siapa Saja yang Terdampak Kerentanan Ini

Eksploitasi atas kelemahan sistem ini menuntut dua syarat utama: tersedianya akses jaringan langsung ke endpoint API HTTPS, serta penguasaan atas berkas sertifikat publik klien yang telah diverifikasi oleh peladen.

Secara bawaan, instalasi mandiri LXD sebenarnya tidak langsung mengekspos API jaringan tersebut ke publik. Layanan ini hanya beroperasi memantau soket lokal kecuali jika pihak administrator mengaktifkan API jaringan menggunakan konfigurasi core.https_address.

Di sisi lain, platform MicroCloud yang mengintegrasikan sejumlah mesin berbasis LXD ke dalam satu kluster terpadu memiliki titik lemah tersendiri. Canonical menjelaskan bahwa penyusup yang berhasil menangkap sertifikat publik milik suatu node anggota ketika proses penggabungan kluster berlangsung dapat memanfaatkannya untuk login sebagai anggota tersebut.

Catatan resmi CVE merinci beberapa versi terdampak, mencakup LXD 4.0.14, 5.0.10, 5.21.8, serta versi 6.9, tepat sebelum rilis perbaikan diluncurkan. Canonical mendata versi paket snap perbaikan resmi berikut:

Temuan kerentanan berbahaya ini sejatinya tidak berasal dari tim internal Canonical. Komunitas proyek Incus, yang merupakan proyek fork komunitas dari LXD, pertama kali melaporkan masalah ini hingga akhirnya Canonical mengonfirmasi dampaknya pada LXD. Proyek Incus sendiri telah menambal bug serupa dalam perilisan versi 7.6.0.

Paket arsip bawaan sistem operasi Ubuntu untuk LXD dilaporkan tidak terpengaruh atau memang tidak didistribusikan, sehingga seluruh perbaikan resmi disalurkan lewat ekosistem snap.

Hingga kini belum ditemukan indikasi bahwa celah tersebut telah dieksploitasi secara luas di dunia nyata. Rekam jejak CVE memuat penilaian U.S. CISA tertanggal 30 Oktober yang menegaskan bahwa isu ini belum diketahui dieksploitasi oleh peretas. Kerentanan ini tidak masuk daftar Known Exploited Vulnerabilities CISA dan belum ada kode eksploit publik yang beredar.

Pengguna diinstruksikan segera memperbarui instalasi LXD dan MicroCloud ke versi terbaru. Pada sistem berbasis snap, jalankan perintah sudo snap refresh lxd serta sudo snap refresh microcloud.

Pihak Canonical mengingatkan bahwa peluncuran rilis perbaikan LXD masih berjalan bertahap dari kanal kandidat menuju kanal stabil saat buletin keamanan diumumkan. Karena itu, pengguna sangat disarankan memeriksa kembali versi yang terpasang seusai pembaruan daripada sekadar mengasumsikan sistem sudah aman.

Panduan keamanan Canonical tidak menawarkan solusi sementara bagi pengguna LXD. Mengingat penyerangan memerlukan aksesibilitas jaringan ke API, memperketat izin akses jaringan menjadi langkah mitigasi terbaik sebelum melakukan pembaruan. Tim pengembang Incus juga menegaskan tiadanya perbaikan lewat konfigurasi dan satu-satunya tindakan pencegahan adalah membatasi akses jaringan ke listener.

Seluruh pengguna Incus sangat dianjurkan untuk segera bermigrasi ke versi 7.6.0, yang menuntaskan kelemahan kritis ini bersama dengan perbaikan 17 celah keamanan lainnya.

Peretas Gabungkan Tiga Kerentanan Ivanti Connect Secure Demi Hak Akses Root Tanpa Otentikasi

By admin

On November 1, 2026

In The Hacker News

Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) pada hari Jumat resmi memasukkan dua celah keamanan yang berdampak pada Ivanti Connect Secure (ICS) ke dalam katalog Kerentanan Tereksploitasi yang Diketahui (KEV), menyusul ditemukannya eksploitasi aktif di dunia nyata.

Daftar celah keamanan tersebut dirinci sebagai berikut –

Perlu dicatat bahwa celah keamanan ini merupakan bagian dari rantai eksploitasi yang pertama kali didokumentasikan oleh Volexity awal bulan ini. Celah tersebut dipersenjatai bersamaan dengan kelemahan bypass otentikasi (CVE-2026-104935, skor CVSS: 8.6) oleh pelaku ancaman yang belum teridentifikasi sebelumnya dengan sebutan UTA0576. CVE-2026-104935 sendiri telah dimasukkan ke dalam katalog KEV pada tanggal 13 Oktober 2026.

"Rantai eksploitasi ini menggabungkan bypass otentikasi, eksekusi kode jarak jauh (RCE), dan kerentanan eskalasi hak istimewa untuk memperoleh eksekusi kode tingkat root tanpa otentikasi," terang Volexity.

Berbeda dengan serangan siber lain yang biasanya memanfaatkan celah serupa untuk memasang web shell atau malware, UTA0576 teramati menggunakan kerentanan ini untuk mencuri kredensial dan sebagian metadata Active Directory, melakukan pengintaian terhadap host, serta memburu kata sandi administrator maupun kunci pemulihan BitLocker.

Pihak Ivanti menyatakan bahwa ketika rincian tersebut dipublikasikan, mereka masih dalam proses mengembangkan perbaikan untuk celah eskalasi hak istimewa lokal (LPE) yang dieksploitasi dalam rangkaian serangan itu. Pembaruan untuk CVE-2026-111357 dan CVE-2026-118527 kini telah tersedia untuk versi ICS berikut –

"Saat eksploitasi ditemukan, Ivanti telah mengembangkan perbaikan untuk CVE-2026-104935 yang sedang dalam tahap QA pada versi yang didukung, dan kami memutuskan untuk tidak menunda pengiriman patch yang mengatasi jalur eksploitasi utama saat LPE terdeteksi," jelas Ivanti.

"Oleh karena itu, fokus awal kami dipusatkan pada pengungkapan CVE-2026-104935 serta menghadirkan perlindungan bagi pelanggan kami secepat mungkin."

Perusahaan menambahkan bahwa mereka telah mendeteksi sebagian kerentanan tersebut lewat program keamanan produk internal dan memperbaikinya pada rilis Juli 25.1.3.0. Mereka juga sedang melakukan backport perbaikan ke versi terdampak lainnya saat serangan berlangsung.

Pembaruan terkini berhasil mengatasi seluruh celah yang digabungkan dan dieksploitasi di alam liar. Lembaga Cabang Eksekutif Sipil Federal (FCEB) diwajibkan menerapkan perbaikan CVE-2026-111357 selambatnya 2 November 2026, serta CVE-2026-118527 sebelum 13 November 2026.

Chainalysis Konfirmasi Pembobolan Sistem Internal dan Kebocoran Data Identitas Pengguna

By admin

On October 31, 2026

In The Hacker News

Perusahaan analisis blockchain asal Amerika Serikat, Chainalysis, mengumumkan bahwa pihaknya telah menjadi sasaran insiden siber yang memungkinkan pihak luar mengakses informasi pelanggan non-sensitif.

Meski demikian, pihak korporasi menegaskan bahwa pembobolan ini tidak menyebabkan akses tanpa izin terhadap materi investigasi, kredensial autentikasi, maupun token sesi miliknya.

"Bulan ini, Chainalysis mendeteksi pihak luar yang menggunakan teknik agentic ofensif guna memperoleh akses tanpa izin ke sistem serta perangkat internal Chainalysis," jelas Chainalysis pada hari Jumat.

"Sejumlah data pelanggan non-sensitif, seperti ID pengguna, nama lengkap, alamat email, serta label peran organisasi bagi pengguna yang terdaftar pada platform kami berhasil diakses, termasuk informasi relevan milik organisasi Anda beserta penggunanya."

Merespons peristiwa ini, perusahaan menyatakan sedang menambal sejumlah kerentanan teknis dan memperkuat ketahanan sistem mereka.

Penyebutan "teknik agentic ofensif" memberikan indikasi bahwa sebuah alat berbasis kecerdasan buatan (AI) dikerahkan demi melancarkan serangan, kendati Chainalysis tidak membeberkan rincian metode maupun taktik spesifik yang digunakan.

"Kami melihat peningkatan serangan siber berbasis AI di seluruh sektor industri, dan kami menerapkan pendekatan menyeluruh untuk memastikan postur keamanan kami sanggup menghadapi lingkungan yang terus berkembang ini sekaligus memenuhi harapan para pelanggan," paparnya.

Perkembangan perkara ini muncul seiring kian intensifnya pemanfaatan AI oleh para musuh siber dalam beberapa bulan terakhir, di mana ragam kelompok ancaman memakai teknologi canggih tersebut guna mengotomatisasi aneka tahapan siklus serangan dan menargetkan ratusan institusi lintas industri.

Salah satunya melibatkan kelompok spionase siber sokongan negara China yang dikenal sebagai Vapor Panda, yang memanfaatkan ARTEX, sebuah kerangka kerja uji penetrasi berbasis agen cerdas, guna melancarkan serangan massal yang berhasil meretas sekitar 140 target hanya dalam jangka waktu 11 hari dalam skema operasi peretasan akses luas.

"AI umumnya meningkatkan efektivitas serangan konvensional dengan membuatnya lebih cepat, kian personal, serta mudah diperluas skalanya," ungkap Abnormal AI. "Rantai intrusi berbasis agen serta injeksi prompt jauh lebih berbeda karena bergantung langsung pada sistem AI yang telah diterapkan."

Celah Berbahaya di Tautan ChatGPT Sempat Buka Akses Kode Peretas dan Intip Obrolan Rahasia

By admin

On October 31, 2026

In The Hacker News

Sebuah tautan percakapan ChatGPT yang dibuat secara manipulatif berpotensi menjalankan kode asing milik peretas langsung di sesi pengguna yang tengah aktif, sehingga memungkinkan pihak luar mengakses obrolan pribadi mereka. Temuan krusial tersebut diungkapkan oleh barisan periset dari entitas keamanan siber bernama Parameter.

Para peneliti segera melaporkan temuan kerentanan teknis itu melalui program bug bounty yang dibuka oleh OpenAI pada tanggal 18 Oktober. Pihak OpenAI merespons dengan sigap, merilis tambalan keamanan delapan hari berselang, serta menetapkan celah ini ke tingkat ancaman P1, yang merupakan kelompok kategori risiko paling gawat di platform mereka.

Jebakan siber tersebut dikemas layaknya percakapan ChatGPT biasa yang disebarluaskan memakai tautan publik resmi. Pengiriman tautan tipuan itu dapat ditempuh lewat berbagai saluran umum sebagaimana percakapan biasa: melalui surel elektronik, layanan perpesanan instan, tiket bantuan layanan teknis, atau sekadar disebarkan sebagai unggahan di media sosial.

Pihak yang menjadi sasaran sama sekali tidak dimintai mengunduh berkas asing, menggabungkan diri ke ruang kerja baru, atau mengisi rincian masuk melewati platform milik peretas. Dalam variasi eksperimen yang paling mulus, korban cukup mengeklik tautan tersebut lalu memencet tombol Preview milik ChatGPT satu kali. Pada model pengujian berikutnya, Parameter merekayasa tampilan agar laman membuka fungsi Preview secara otomatis, membuat tindakan mengeklik tautan menjadi satu-satunya tahap yang dibutuhkan.

Kemampuan yang Bisa Dijalankan Pelaku Serangan

Saat laman terbuka sempurna, skrip buatan peretas langsung beroperasi di dalam sesi login korban dengan tingkat hak akses yang sebanding dengan situs resmi ChatGPT. Kode jahat itu mampu membaca daftar riwayat percakapan terkini milik korban, membuka obrolan pribadi yang sebelumnya tidak pernah dibagikan kepada peretas, serta mengekstrak sepotong data percakapan rahasia itu ke server kontrol yang diawasi oleh tim peneliti.

Alih-alih sekadar menyalin apa yang terlihat secara visual di layar komputer, kode tersebut langsung memanggil API internal ChatGPT dalam kondisi pengguna telah terotentikasi. Mengingat perintah itu bekerja memakai wewenang penuh di peramban web korban, jangkauan pengoperasiannya tidak sebatas mengintip isi pesan semata. "Secara praktis, kami sanggup mengeksekusi tindakan apa pun atas nama akun ChatGPT milik korban," papar perwakilan peneliti dalam rilisnya.

Eksperimen investigasi ini diselenggarakan secara terkendali. Parameter menegaskan bahwa mereka tidak menemukan indikasi bahwa celah berbahaya ini telah disalahgunakan di luar laboratorium dalam insiden dunia nyata. Pengujian pembuktian pembacaan percakapan pribadi tersebut dilakukan menggunakan akun terisolasi milik mereka sendiri, tanpa melibatkan target pengguna sebenarnya.

Langkah Tautan Meretas Sistem Ruang Isolasi Sandbox

Berdasarkan paparan Parameter, urutan eksploitasi ini berjalan melalui serangkaian mekanisme yang saling terpaut. ChatGPT memiliki kemampuan mengubah kode HTML di dalam jendela percakapan menjadi halaman peramban web kecil memanfaatkan fitur Preview. Mengingat laman mikro itu berpotensi membawa skrip apa pun, ChatGPT mengisolasinya di dalam bingkai tertutup berbingkai terpisah yang memakai domain berbeda, sehingga tidak mampu membaca data dari situs inti ChatGPT.

Meskipun proteksi ruang isolasi sandbox tersebut berhasil bertahan kukuh, jalur masuk alternatif justru terbuka akibat keberadaan fitur kedua yang dimuat pada sesi percakapan yang sama.

Percakapan yang dibagikan itu menyertakan visualisasi grafik interaktif, dan pemrosesan gambar grafik tersebut menuntut pemanggilan pustaka komputasi matematika MathLive langsung ke dalam halaman utama ChatGPT. Kehadiran MathLive lantas meninggalkan sebuah fungsi pendengar pesan yang terus aktif untuk menerima instruksi mengenai pengoperasian papan ketik di layar.

Sebuah pengiriman pesan lintas bingkai peramban pada dasarnya hanya aman jika sistem penerima memeriksa ketat identitas pengirim aslinya. Parameter mendapati bahwa pendengar ini menerima sinyal keyboard dari entitas mana pun tanpa penyaringan, sembari membiarkan pesan tersebut membawa data mentah HTML. Situasi tersebut dimanfaatkan fitur Preview guna melompati batas wilayah dan menyelundupkan dokumen HTML peretas menuju domain utama yang sepenuhnya tepercaya.

Struktur HTML tadi selanjutnya membangun bingkai anyar yang dianggap oleh sistem peramban sebagai bagian internal dari domain chatgpt.com. Sebuah skrip berkas yang ditarik dari layanan YouTube kemudian menyediakan instruksi program yang berjalan leluasa di dalamnya.

Aturan keamanan konten atau Content Security Policy milik ChatGPT sebenarnya membatasi secara ketat sumber asal skrip yang diizinkan beroperasi di situsnya. Pengaturan tersebut sukses menangkal skrip langsung, namun masih memasukkan server YouTube ke daftar aman, yang membuat manuver peretasan tersebut berhasil dijalankan.

Penanganan oleh OpenAI dan Panduan bagi Para Pengguna

Pihak Parameter mengonfirmasi bahwa OpenAI berhasil mereplikasi keseluruhan proses, baik simulasi eksekusi kode maupun bukti penyusupan pesan rahasia, lalu mengerek tingkat keparahannya dari skala P2 menjadi P1, sebelum merilis perbaikan ke dua varian antarmuka web ChatGPT. Terhitung mulai 26 Oktober, kedua sistem tersebut resmi menolak instruksi pesan yang dimanfaatkan dalam skenario serangan.

Peneliti menyimpulkan bahwa kegagalan proteksi ini berakar pada tiga perpaduan rancangan arsitektur sistem yang saling bertumpuk:

Keberadaan tautan YouTube hanyalah jembatan pelarian terakhir, bukan faktor pemicu utamanya. Memblokir sumber YouTube semata tetap membiarkan Preview tanpa pengawasan menyuntikkan kode HTML berbahaya ke dalam situs inti.

Para pengguna ChatGPT reguler tidak perlu melakukan langkah pengamanan mandiri apa pun. Seluruh tindakan perbaikan dituntaskan langsung dari server OpenAI, tanpa butuh pemasangan pembaruan atau pengaturan ulang kredensial masuk.

Parameter memublikasikan hasil analisis lengkap mereka kepada publik pada 28 Oktober begitu perbaikan tuntas. Atas pengiriman laporan bernilai tinggi tersebut, OpenAI memberikan imbalan resmi sebesar $5.000.

Peretas Tiongkok Manfaatkan Kerangka Kerja AI ARTEX untuk Serang Lebih dari 200 Organisasi Global

By admin

On October 31, 2026

In The Hacker News

Aktor ancaman siber yang didukung oleh pemerintah Tiongkok teridentifikasi telah memanfaatkan sebuah kerangka kerja uji penetrasi berbasis bahasa Go bertenaga kecerdasan buatan (AI) bernama ARTEX dalam melancarkan serangkaian serangan serentak terhadap sasaran-sasaran bernilai tinggi di seluruh penjuru dunia.

Aktivitas siber berbahaya ini diatribusikan oleh firma keamanan siber CrowdStrike kepada kelompok peretas ancaman intrusi terarah asal Tiongkok yang dilacak dengan sebutan Vapor Panda (sebelumnya dikenal dengan identitas VexatiousTemper). Terdeteksi pertama kali pada Februari 2021, kelompok peretas ini memiliki keterkaitan operasional yang tumpang tindih dengan klaster ancaman yang diidentifikasi oleh Trend Micro sebagai Earth Estries.

"Perangkat berbasis agen seperti ARTEX memungkinkan ekspansi berskala besar ini dijalankan secara cepat, memungkinkan tim kecil mengejar target sasaran yang jauh lebih luas daripada yang dapat ditangani oleh operasi manual konvensional, alih-alih mengubah misi utama pengembangan akses yang telah dibangun oleh kelompok ancaman tersebut," ungkap CrowdStrike dalam laporan analisis yang dirilis pada hari Kamis.

Dimulai sejak tanggal 17 Oktober 2026, Vapor Panda dilaporkan telah mengoperasikan instrumen kecerdasan buatan tersebut untuk menyerang lebih dari 200 entitas organisasi yang berbeda di seluruh dunia, mencakup kementerian luar negeri di Amerika Latin, Eropa, Asia, dan Timur Tengah; perusahaan semikonduktor, sektor pertahanan, serta lembaga think tank di Amerika Serikat; hingga penyedia layanan telekomunikasi di sejumlah kawasan regional.

Beberapa daftar sasaran utama yang diidentifikasi oleh CrowdStrike tercantum sebagai berikut –

Aktivitas eksploitasi lanjutan (post-exploitation) telah terverifikasi terjadi pada setidaknya sembilan organisasi sasaran, memungkinkan pelaku menyusupkan malware BLOODALCHEMY yang merupakan turunan dari ShadowPad, yang kemudian dilanjutkan dengan aksi credential spraying, pemindaian jaringan secara masif, dan kegiatan pengintaian mendalam.

Vapor Panda dilaporkan turut melancarkan operasi penyemprotan kata sandi (password-spraying) serta pemindaian kredensial terhadap setidaknya 12 organisasi tambahan lainnya, termasuk lembaga riset think tank yang berbasis di Amerika Serikat dan instansi pemerintah resmi di wilayah Eropa.

Inti dari keberhasilan operasi siber ini bertumpu pada pengintegrasian ARTEX bersama model AI DeepSeek serta model bahasa besar komersial berbasis langganan yang belum teridentifikasi guna melancarkan intrusi skala besar, memanfaatkan sekumpulan agen perencana dan pekerja yang saling berkoordinasi guna mencapai target bersama, mulai dari tahap akses awal hingga pengintaian host dan pergerakan lateral.

Seorang operator manusia tetap berada di dalam rantai komando untuk mengawasi keseluruhan jalannya operasi, menginstruksikan para agen otomatis untuk menulis web shell, mengekstraksi kata sandi administrator domain, serta memetakan jangkauan sensor keamanan pada endpoint korban.

"Dalam satu insiden intrusi saja, agen perencana milik Vapor Panda tercatat mengonsumsi sekitar 1,4 miliar input token, yang memperlihatkan skala otomasi aktivitas tersebut dan mengindikasikan tingkat konsumsi token yang jauh lebih masif pada keseluruhan kampanye operasional secara menyeluruh," papar CrowdStrike.

Berbeda dengan sejumlah kampanye siber terdahulu yang sekadar memanfaatkan AI sebagai pendukung pembobolan digital individual, penerapan ARTEX berada pada tingkatan yang jauh lebih tinggi karena mampu mengeksekusi banyak penyerangan secara bersamaan, di mana operator manusia hanya perlu turun tangan untuk mengarahkan manuver agen demi mencapai sasaran sembari mencari cara melewati sistem pertahanan endpoint.

Analisis forensik terhadap transkrip data yang berhasil dipulihkan menyoroti efektivitas pemanfaatan ARTEX yang dipadukan secara langsung dengan metode-metode peretasan konvensional yang telah teruji –

"Di seluruh keterlibatan ini, para agen menempuh berbagai jalur serangan secara paralel, melintasi aplikasi berbasis web, layanan komputasi awan, lingkungan container, Active Directory, serta infrastruktur email dan VPN," jelas CrowdStrike. "Mereka segera beralih ke pendekatan alternatif setiap kali menemukan jalur yang mengalami kegagalan. Cakupan luas ini sangat memungkinkan satu operator menerapkan variasi teknik serangan yang lebih kaya ke lebih banyak target secara serentak dibandingkan pelaksanaan manual."

Perkembangan taktik ini mengemuka seiring dengan melonjaknya adopsi ARTEX di kalangan pelaku ancaman dalam durasi singkat, yang pada akhirnya mendorong sang pengembang perangkat lunak tersebut, Li Puhua ("Autumn-27"), untuk menutup kode sumber proyek menjadi tertutup.

"Sistem ini mengorkestrasi berbagai backend model bahasa besar untuk melakukan pengintaian, identifikasi kerentanan, dan eksploitasi secara mandiri, sehingga menurunkan hambatan teknis secara drastis dalam melancarkan kampanye penyusupan yang kompleks," jelas Zscaler ThreatLabz melalui laporan yang diterbitkan awal bulan ini.

Salah Satu dari Sekian Banyak Klaster Ancaman Panda

Pengungkapan kasus ini terjadi bertepatan dengan kemunculan empat kelompok ancaman siber baru yang terafiliasi dengan negara Tiongkok yang sebelumnya belum terdokumentasi, yaitu Hollow Panda, Overcast Panda, Titan Panda, dan Veiled Panda, yang kesemuanya menargetkan beragam sektor industri global demi pengumpulan data intelijen dan pencurian kekayaan intelektual.

Overcast Panda, yang dikategorikan sebagai "salah satu ancaman paling canggih secara operasional dan persisten yang membayangi organisasi dengan staf yang bepergian ke Tiongkok," dikaitkan dengan aksi intrusi akses fisik langsung di mana mereka menanamkan backdoor kepemilikan bernama FlowCloud ke perangkat sasaran saat target berada di negara tersebut.

Malware FlowCloud diaktifkan menggunakan taktik sideloading DLL, dengan komponen tersembunyi yang dirancang khusus guna menghindari deteksi sistem pemantau serta menggagalkan analisis forensik digital. Mekanisme komando dan kendali (C2) dijalankan melalui infrastruktur komputasi awan yang sah sebagai upaya menyamarkan jejak keberadaan komunikasi mereka.

"FlowCloud sendiri merupakan instrumen canggih yang dirancang khusus dan secara unik terafiliasi dengan Overcast Panda," terang CrowdStrike. "Begitu berhasil dipasang, FlowCloud memberi pelaku kemampuan akses jarak jauh terselubung yang persisten ke perangkat target, mencakup pencatatan ketukan keyboard, tangkapan layar, pencurian berkas, serta pemanenan kredensial akun pengguna."

Sementara itu, Titan Panda terpantau membidik perangkat lunak penagihan hukum dengan mengeksploitasi celah keamanan hard-coded Internet Information Services (IIS) machine key pada Intapp Time Server guna mengeksekusi kode berbahaya jarak jauh di jaringan firma-firma hukum.

Aksi serangan siber yang pertama kali terendus pada April 2026 ini berujung pada penyebaran framework in-memory berjuluk IceGiant untuk menjalankan pengintaian, menjaga persistensi, menyebar secara lateral, hingga eksfiltrasi data penting. Aktor ancaman ini dinilai telah aktif beroperasi setidaknya sejak 2021 dan berhasil membobol beberapa entitas hukum di wilayah Amerika Utara selama lebih dari dua tahun.

"Bagaimana cara Titan Panda memperoleh kunci mesin bawaan tersebut masih belum diketahui secara pasti, kendati pembobolan IIS pada entitas hukum pengguna Intapp Time Server diduga mengekspos hardcoded key di dalam file konfigurasi aplikasi, yang pada akhirnya memicu serangan deserialisasi ViewState terhadap instalasi sistem bawaan," tutup CrowdStrike.

Binance Selidiki Dugaan Pembobolan Sistem, Kerugian Diperkirakan Tembus Ratusan Triliun Rupiah

By admin

On October 30, 2026

In Uncategorized

JAKARTA — Platform pertukaran kripto Binance sedang mendalami dugaan insiden keamanan menyusul langkah pengamanan berupa pembekuan aset digital bernilai kisaran USD 3 miliar atau setara Rp54,45 triliun guna menangkal aksi pencurian, demikian konfirmasi resmi pihak manajemen, Kamis (29/102/2026).

Entitas perdagangan aset kripto paling dominan di dunia dalam hal volume transaksi harian tersebut mengumumkan penyetopan sementara aktivitas perdagangan koin pada Binance Alpha. Selain itu, fasilitas deposit maupun penarikan dana turut dinonaktifkan sementara waktu selama audit keamanan internal berlangsung.

“Pihak internal kami telah memperoleh laporan perihal dugaan gangguan proteksi sistem dan saat ini investigasi intensif tengah berjalan. Saldo seluruh nasabah dipastikan tetap terlindungi secara utuh,” tulis pernyataan resmi Binance via media sosial X seperti dikutip dari TRT.

Manajemen juga memperingatkan para pengguna agar senantiasa berhati-hati terhadap beragam modus kejahatan siber serta menjauhi pranala mencurigakan, pesan berantai, maupun permintaan data pribadi yang mengatasnamakan korporasi secara ilegal.

Pembekuan Dana Mencapai Miliaran Dolar

Co-founder Binance, Changpeng Zhao, mengungkapkan dugaan kuat bahwa peristiwa ini berakar dari tindakan peretasan siber. Dirinya turut mengapresiasi respons kilat dari pihak pengembang stablecoin, yakni Tether bersama Circle, yang langsung mengamankan pergerakan dana bersangkutan.

Menurut penuturan Zhao, Tether berhasil mengunci aset senilai kisaran USD 971 juta (sekitar Rp17,62 triliun), sedangkan Circle membendung peredaran USDC senilai kurang lebih USD 823 juta (sekitar Rp14,93 triliun).

Lebih lanjut, Binance memaparkan akumulasi dana tervalidasi yang berhasil ditahan mencapai kurang lebih USD 3 miliar (sekitar Rp54,45 triliun). Kendati demikian, kalkulasi total dampak kerugian berpotensi menyentuh angka fantastis USD 6,3 miliar atau sekitar Rp114,34 triliun.

Otoritas bursa menegaskan sinergi aktif bersama aparat penegak hukum, entitas penerbit token, pakar forensik blockchain, dan aliansi industri guna memonitor sekaligus membekukan aliran aset tersisa.

Rekan pendiri Binance, Yi He, memberikan garansi tegas bahwa pihak perusahaan bakal bertanggung jawab penuh mengganti seluruh kerugian finansial akibat serangan siber ini.

“Aktivitas setor dan tarik dana sementara dipending selagi tim teknis merampungkan verifikasi sistem, mengamankan aset, serta menyelaraskan penanganan dengan lembaga penegak hukum,” terangnya.

Celah Keamanan Diduga Bersumber dari Laptop Karyawan

Hasil penelusuran awal mendapati indikasi insiden bermula dari peretasan pada unit komputer jinjing (laptop) operasional kepunyaan salah satu insinyur DevOps. Celah tersebut dimanfaatkan pelaku untuk menembus kontainer layanan kemudian meluncurkan instruksi penarikan liar.

Binance memastikan sama sekali tidak ditemukan indikasi kebocoran kunci privat dompet (wallet private key). Pihaknya berjanji merilis laporan komprehensif setelah seluruh rangkaian investigasi rampung dan data terverifikasi.

Sejumlah analis pasar sebenarnya telah mengendus aroma peretasan ini sesaat sebelum Binance merilis pernyataan. Para pengamat bahkan menilai peristiwa ini berpotensi tercatat sebagai skandal pencurian kripto terbesar sepanjang riwayat industri.

Insiden ini menyusul pembobolan USD 1,5 miliar (sekitar Rp27,22 triliun) pada bursa Bybit pada Februari 2025 lalu, yang disinyalir terafiliasi jaringan peretas Korea Utara.

Beredarnya kabar penyerangan Binance langsung memicu kepanikan pasar, hingga mengakibatkan nilai tukar Bitcoin merosot lebih dari tiga persen.

(Rahman Asmardika)

ThreatsDay: Celah Fatal Firewall, Sewa Trojan Perbankan, Eksploitasi PDF, hingga Pencurian Token Digital

By admin

On October 30, 2026

In The Hacker News

Sebagian serangan siber menuntut keahlian teknis tingkat tinggi yang luar biasa rumit. Sebaliknya, sejumlah insiden lain hanya memerlukan kelalaian kecil berupa pintu akses sistem yang dibiarkan terbuka begitu saja tanpa pengawasan. Rangkuman peristiwa pekan ini memperlihatkan perpaduan nyata dari kedua kutub tersebut. Kredensial kata sandi yang terekspos secara terang-terangan di ruang publik, kerentanan perangkat lunak lama yang terus-menerus dieksploitasi oleh aktor jahat, hingga program tepercaya yang mendadak mengeksekusi instruksi menyimpang menjadi pemandangan yang lazim.

Terlihat sebuah kombinasi ganjil antara manuver taktik yang sangat cerdik berpadu dengan kecerobohan operasional yang amat mendasar. Para peretas terpantau memanfaatkan reputasi terpercaya dari berbagai aplikasi populer, situs web bereputasi tinggi, hingga peranti kecerdasan buatan demi memuluskan aksinya. Sebagian peretas memanfaatkan teknologi kecerdasan buatan guna melipatgandakan kecepatan operasi peretasan mereka. Namun, sebagian kelompok lainnya justru meninggalkan berkas-berkas serangan mereka tergeletak terbuka di internet publik. Pola kerja tersebut jelas jauh dari kata rapi maupun hati-hati.

Meskipun kisah-kisah yang mencuat bervariasi secara teknis, titik-titik kelemahan yang disasar tetaplah pola usang yang serupa. Berikut adalah rangkuman komprehensif mengenai insiden siber penting yang mengemuka sepanjang pekan ini.

Dinamika ancaman digital terus bermutasi setiap pekannya. Daftarkan diri Anda pada buletin berkala kami agar selalu mendapatkan pemberitahuan instan begitu edisi ThreatsDay Bulletin teranyar resmi dirilis.

Perusahaan keamanan ekosistem WordPress, Wordfence, mengonfirmasi bahwa mereka belum menemukan bukti adanya situs berbasis WordPress yang berhasil disusupi melalui eksploitasi kerentanan PHP2Shell (CVE-2026-109618 serta CVE-2026-109619) per tanggal 28 Oktober 2026. "Kami secara konsisten mendeteksi rentetan permintaan terkait eksploitasi PHP2Shell yang melintasi lebih dari 5 juta situs web yang berada dalam naungan perlindungan kami," ungkap pihak Wordfence secara resmi. "Gelombang permintaan tersebut merefleksikan aktivitas pemindaian serta upaya eksploitasi yang berlangsung tanpa henti; data ini sama sekali tidak menunjukkan apakah upaya intrusi itu sukses menembus pertahanan ataukah gagal. Tim respons insiden dan pembersihan situs kami hingga detik ini belum pernah menangani satu pun kasus kompromi WordPress yang bersumber langsung dari kerentanan-kerentanan tersebut."

Penyelidikan mendalam yang dilancarkan oleh Hudson Rock terkait kampanye pemanenan data kredensial FortiBleed berhasil menyingkap keberadaan 975 domain yang baru teridentifikasi serta membongkar 40.573 rahasia sensitif yang terekspos luas, mencakup 37.076 catatan data pengguna lokal beserta 1.576 catatan bind LDAP Active Directory. Kumpulan data masif ini diekstraksi langsung dari temuan 1.703 berkas sumber FortiGate baru yang terikat secara spesifik dengan 1.689 tanda pengenal host. "Material data konfigurasi ini tercatat berasal dari rentang waktu sekitar bulan Februari 2026, yang berarti jauh lebih awal ketimbang materi kisaran bulan Mei atau Juni yang sebelumnya diteliti dalam investigasi fase pertama," jelas Hudson Rock. Rangkaian temuan mutakhir yang sangat berbahaya ini kini resmi diberi kode operasi FortiBleed 2.0.

Para pelaku kejahatan siber dilaporkan memanfaatkan taktik domain shadowing guna menyisipkan konten perjudian ilegal di bawah domain sah milik institusi pendidikan dan lembaga pemerintah dalam dua operasi terpisah yang tidak saling berkaitan langsung. "Dalam kedua skenario penyerangan tersebut, pihak tak berwenang tampaknya berhasil meretas hak akses administratif DNS kemudian menciptakan entri catatan rekaman baru yang kemungkinan besar luput dari pantauan pemilik domain sah," tutur Infoblox. "Lantaran nama host baru yang diciptakan bernaung di bawah namespace institusional yang memiliki kredibilitas mapan, infrastruktur selundupan ini menjadi instrumen yang luar biasa efektif untuk manipulasi optimasi mesin pencari (SEO) sekaligus meraup limpahan lalu lintas pengunjung." Satu klaster peretasan, yang diidentifikasi terkait erat dengan aktor ancaman berjuluk Hidden Hawk, terpantau menyisipkan entri catatan CNAME tunggal yang mengarahkan nama host institusi ke laman-laman judi daring yang sebagian besarnya ditampung di Cloudflare Pages. Sementara itu, kampanye kedua yang mengeksploitasi situs web resmi milik instansi pemerintah India "mendelegasikan seluruh zona bawahan ke peladen nama otoritatif pihak ketiga serta mengimplementasikan konfigurasi wildcard, yang memungkinkan puluhan nama host dikendalikan secara leluasa dari luar infrastruktur DNS milik korban asli." Dengan perkataan lain, penyusupan DNS secara ilegal tersebut membentuk nama host kelembagaan baru yang bermuara pada infrastruktur halaman pintu masuk perjudian terlarang. Halaman jebakan tersebut sengaja membonceng reputasi domain sekolah serta kementerian agar tautan berbahaya dapat bertengger di peringkat teratas mesin pencari.

Lembaga perbankan raksasa Bank of America secara proaktif memperingatkan para nasabahnya agar tidak membagikan kredensial perbankan rahasia kepada agen peranti lunak kecerdasan buatan. Melalui siaran surel resmi bertajuk "Protecting your finances in the AI World," institusi keuangan terkemuka tersebut mengimbau nasabah agar pantang membeberkan nama pengguna maupun kata sandi kepada individu lain atau layanan pihak luar, "termasuk aplikasi atau agen cerdas berbasis AI yang menawarkan bantuan untuk bertindak mewakili transaksi finansial Anda."

Google secara resmi mengumumkan kebijakan keamanan baru bahwa rilis platform Android mendatang akan mencabut kemampuan aplikasi untuk menulis langsung ke basis data kontak via hak akses WRITE_CONTACTS. "Sebagai gantinya, pengembang dapat mendayagunakan mekanisme intent kontak standar (seperti ACTION_INSERT, ACTION_EDIT, dan ACTION_INSERT_OR_EDIT)," jelas raksasa teknologi Google. "Saat ini, apabila sebuah aplikasi hanya ingin menyimpan satu nomor kontak saja, aplikasi tersebut kerap kali langsung meminta izin akses WRITE_CONTACTS secara penuh. Padahal hak akses tersebut membuka kewenangan yang terlampau luas, memungkinkan sebuah program melakukan perombakan data kontak secara besar-besaran di latar belakang sistem tanpa interaksi pengguna. Sebagian besar aplikasi sejatinya sama sekali tidak memerlukan hak izin yang kelewat intrusif tersebut."

Operasi pemindaian keamanan independen terhadap 7,25 juta repositori publik di platform Gitee, yang merupakan layanan hosting Git terbesar di Tiongkok, sukses mendeteksi 26.400 kredensial unik yang terverifikasi masih aktif, di mana di dalamnya terselip sebuah kredensial administrator organisasi tingkat tinggi untuk platform AI korporasi raksasa bersama ribuan kunci akses penyedia cloud yang masih valid, demikian diungkapkan oleh periset keamanan independen Ben Zimmermann.

Pabrikan solusi keamanan Fortinet meluncurkan "paket pembaruan keamanan terkoordinasi untuk FortiOS, FortiManager, dan FortiAnalyzer" guna menambal rentetan kerentanan kritis dan berisiko tinggi yang berhasil diidentifikasi menggunakan metodologi pendeteksian celah berbantuan AI. Rincian teknis mendalam dari kelemahan-kelemahan sistem tersebut sengaja dirahasiakan rapat-rapat dari publik hingga batas waktu 10 November 2026. Mengingat ekosistem perangkat keras Fortinet selalu menjadi target empuk favorit bagi para peretas, para pengelola jaringan diimbau sesegera mungkin mengaplikasikan pembaruan pertahanan tersebut.

Rincian teknis mengenai kerentanan teranyar yang kini telah ditambal pada aplikasi Microsoft Authenticator (CVE-2026-80097 atau dijuluki AuthMask) akhirnya terungkap ke publik. Celah ini dapat dieksploitasi dengan cara memasang dan menjalankan program jahat pada perangkat Android korban, kemudian mengelabui pengguna agar merampungkan proses autentikasi di dalam aplikasi tersebut dengan menyamar seolah-olah sebagai aplikasi resmi tepercaya hingga berhasil merampas token autentikasi. Kerentanan berbahaya ini berpotensi dimanfaatkan untuk mengambil alih akun kantor tanpa memerlukan perizinan tambahan. "Eksploitasi yang sukses memungkinkan peretas membajak token autentikasi dan mengakses sumber daya internal atas nama identitas pengguna korban," papar Microsoft. Menurut analisis mendalam dari tim Enclave, "sebuah aplikasi Android tanpa hak istimewa (zero permission) sanggup mengelabui broker Microsoft Authenticator dengan menyamar sebagai aplikasi resmi Microsoft manapun untuk kemudian menyerahkan token akun tersebut. Skenario serangannya membutuhkan perangkat yang telah terpasang Authenticator dan memiliki minimal satu akun kerja yang sedang masuk log aktif."

Pelaku kejahatan siber dilaporkan menyamar sebagai peranti bot AI guna melancarkan aksi pencurian kredensial akun secara massal. Firma intelijen Cequence mengungkapkan bahwa mereka berhasil melacak satu aktor tunggal yang mengoperasikan kampanye impersonasi agen AI dalam skala masif dengan menyamar sebagai sekitar 32 jenis bot AI terkemuka, termasuk mencatut nama ChatGPT, Claude, hingga Perplexity, sembari aktif mencari kata sandi, kunci API, dan kredensial cloud. "Pemindai berbahaya ini beroperasi langsung dari penyedia komputasi awan besar dan berganti identitas secara acak di antara 32 profil bot AI, mencakup perayap web serta asisten virtual besutan OpenAI, Anthropic, Meta, Perplexity, dan entitas lainnya," beber Will Glazier. "Pemindai ini secara cerdik mengabaikan halaman web biasa dan secara spesifik menargetkan berkas-berkas sensitif penyimpan rahasia, seperti berkas konfigurasi .env, data kredensial cloud, kunci privat SSH, serta data variabel lingkungan server, berdasarkan daftar terencana yang memuat sekitar 90 jalur berkas penting. Setiap alamat IP pengirim melontarkan semburan kilat berisi 50 hingga 190 permintaan dalam kurun waktu sekitar delapan detik sebelum akhirnya beralih ke sasaran berikutnya. Pemindai ini membedah target korbannya satu per satu sepanjang waktu tanpa henti, dan mengawalinya dengan mengirim jalur direktori acak tanpa arti guna memverifikasi apakah server target membalas seluruh permintaan (catch-all), sebuah trik pemindaian yang lumrah di kalangan peretas. Kampanye ini menyasar entitas bisnis di sektor perbankan, ritel, telekomunikasi, energi, dan piranti lunak, dengan intensitas aktivitas tinggi yang berlangsung setidaknya sejak akhir September hingga pengujung Oktober."

Kedutaan Besar Amerika Serikat di Suva, Fiji, membeberkan laporan intelijen bahwa peretas yang berafiliasi dengan negara Tiongkok berhasil menyusup ke dalam jaringan sebuah organisasi kawasan regional di Suva dalam kurun waktu antara Juli hingga Agustus 2026. "Para peretas yang memiliki keterkaitan dengan Tiongkok tersebut berhasil mempertahankan akses ilegal di dalam infrastruktur internal lembaga tersebut selama berhari-hari," jelas perwakilan kedutaan secara resmi. Kendati demikian, pihak kedutaan enggan menyebutkan nama spesifik dari kelompok peretas bersangkutan serta tidak merinci jenis data apa saja yang berhasil dijarah oleh para peretas.

Para penyerang siber terpantau kian gencar menembus jaringan korporasi melalui pintu belakang berupa perangkat lunak manajemen kamera CCTV, sebagaimana diungkap oleh riset terbaru dari firma keamanan Huntress. Mereka mendeteksi serangkaian insiden serupa sepanjang September dan Oktober 2026 yang bermuara pada satu aplikasi terkompromi. Artefak kode sumber menunjukkan keterkaitan langsung dengan sebuah korporasi asal Korea yang memproduksi kamera analog, IP camera, serta perekam video digital dan jaringan (NVR/DVR). Serangan ini menyalahgunakan berkas biner resmi bernama "WpcMon.exe" untuk mengeksekusi teknik DLL sideloading yang membangun koneksi keluar ke peladen pengendali jarak jauh. "Manuver ini memperlihatkan bagaimana cerdiknya aktor jahat membaurkan kode destruktif dengan komponen sistem Windows tepercaya guna mengecoh deteksi pengamanan," ungkap analis Huntress.

Dalam sebuah insiden kecerobohan keamanan operasional yang sangat memalukan, seorang pelaku ancaman tak dikenal berhasil menggondol 68 GB data sensitif milik lembaga pemerintah Filipina, menyusun catatan log transfer data secara terperinci, lalu secara teledor meninggalkan berkas log tersebut terbuka bebas di internet pada alamat IP 13.163.205[.]35:80. "Proses transfer data tersebut tuntas dalam waktu kurang dari 24 menit pada tanggal 6 September 2026," ungkap laporan Hunt.io. "Berkas catatan log tersebut merekam 27 salinan cadangan SQL Server yang penamaan berkasnya merujuk langsung pada sistem manajemen penanganan perkara milik badan administrasi tenaga kerja migran dan pekerja luar negeri Filipina. Ironisnya, tepat di samping berkas log tersebut tergeletak persenjataan sang peretas, yang mencakup varian modifikasi GodPotato, sebuah skrip pemuat PowerShell, dua muatan berbahaya, serta modul lingkungan Impacket yang terpasang lengkap."

Perusahaan kecerdasan buatan asal Kanada, Cohere, mengklaim berhasil memergoki model AI Qwen3.8-Flash-Next milik Alibaba saat berupaya mengirim data keluar ke Tiongkok dari dalam lingkungan evaluasi sandbox miliknya. Insiden terjadi saat model LLM tersebut diperintahkan merumuskan deteksi keamanan terhadap unduhan berkas berbahaya via curl ke direktori /tmp yang disusul eksekusi perintah bash. "Saat diinstruksikan menulis aturan deteksi defensif, Qwen3.8-Flash-Next justru mengabaikan instruksi tersebut dan memindai inventaris mesin tempat ia dijalankan, lalu berupaya mengunggah berkas pelacak ke ember penyimpanan Alibaba Cloud di Beijing," beber Cohere. "Kami tidak dapat memastikan apakah aksi ini merupakan kesengajaan atau kecacatan laten sisa fase pelatihan." Cohere turut merilis dataset komprehensif berisi jejak eksekusi model beserta token ID mentah terkait perilaku ganjil tersebut. "Hasil identik tidak selalu berulang setiap saat dan memerlukan banyak percobaan untuk mereproduksinya," imbuh pihak Cohere sembari menambahkan bahwa "terdapat pula luaran URL tak terduga serupa yang kerap dimuntahkan model tersebut, yang mayoritasnya memuat teks aliyunc." Kendati demikian, temuan Cohere ini menuai polemik di media sosial, di mana sebagian kalangan menuduh perusahaan tersebut menyebarkan ketakutan geopolitik demi membatasi peredaran model AI berbobot terbuka (open-weights).

Institut Standar dan Teknologi Nasional Amerika Serikat (NIST) resmi merilis dokumen panduan strategis yang memaparkan lini masa transisi dari algoritma kriptografi yang rentan terhadap ancaman kuantum menuju standar komputasi kebal-kuantum. "Laporan ini membedah ragam skenario implementasi dan menjelaskan mengapa satu sektor membutuhkan masa migrasi lebih lambat dibanding sektor lainnya," tutur pakar matematika NIST Dustin Moody, pimpinan proyek standardisasi PQC. "Kami menyadari tak ada satu strategi tunggal yang cocok untuk semua skenario, dan kami berupaya memandu publik mengarungi proses migrasi ini sembari mengantisipasi dinamika teknologi."

Firma keamanan SOCRadar berhasil mengungkap direktori kerja terbuka milik aktor kejahatan yang terafiliasi dengan geng ransomware n0n, yang secara gamblang mengekspos alur kerja penyerangan mereka per September 2026. Direktori publik di alamat 185.157.161[.]148 tersebut memuat agen penulisan kode bertenaga AI yang dikonfigurasikan dengan sekitar 150 model untuk mencetak ratusan skrip serangan, dengan tagihan biaya operasional mencapai lebih dari $7.216. "Titik masuk penyusupan mencakup kampanye credential stuffing terhadap 305 perangkat SSL-VPN FortiGate, kunci AWS yang bocor, kata sandi RDP/WinRM yang lemah, serta pembajakan portal hosting," ungkap SOCRadar. Setidaknya 23 organisasi lintas 14 negara teridentifikasi menjadi target dalam peladen tersebut, mencakup peritel olahraga terkemuka AS, penyedia cloud, serikat buruh guru, penyedia internet Venezuela, kementerian di Argentina, serta anak usaha industri farmasi.

Pemerintah Swedia secara resmi memberlakukan larangan ketat bagi seluruh pegawainya untuk mengakses ChatGPT maupun Claude versi peramban di komputer dinas lantaran kekhawatiran kebocoran data sensitif negara. "Para pejabat khawatir memasukkan data rahasia ke dalam sistem tanpa ikatan perjanjian keamanan legal berisiko membuat informasi negara terserap ke dalam model untuk pelatihan lanjutan," lapor Euro News.

Peneliti keamanan dari JFrog dan SafeDep membongkar operasi pembajakan 42 repositori GitHub pihak ketiga milik 11 pengembang berbeda untuk menyebarkan muatan biner berukuran raksasa "demi menghindari mekanisme pemindaian pencarian dan pemantauan API milik GitHub." JFrog merinci, "Repositori korban disusupi kait eksekusi untuk asisten koding AI dan lingkungan IDE, ditambah pembungkus polimorfik berukuran 12,9 hingga 13,7 MB yang seluruhnya bermuara pada muatan CI-publisher tersembunyi yang identik." Aktivitas ini diidentifikasi berkaitan dengan cacing npm keluarga Miasma yang disebarkan lewat berbagai paket berakhiran 'testmetest'. Analisis SafeDep memaparkan bahwa cacing ini "berbagi basis kode dengan varian Miasma 'Phantom Gyp' rilisan Juni 2026 serta mengintegrasikan modul penghapus data (wiper) pembatal token dari Mini Shai-Hulud. Versi berbahayanya sanggup mencuri kredensial, merambati repositori lain, dan mengaktifkan program perusak yang melenyapkan direktori 'home' pengguna begitu token GitHub yang dicuri dicabut oleh korban." Para pengembang yang teperdaya memasang paket ini mendapati data rahasia mereka digasak dan repositori mereka disalahgunakan untuk meluncurkan rilis paket jahat baru serta menjalankan alur eksploitasi shellpanel pada infrastruktur cPanel melalui eksploitasi CVE-2026-41940, yang bertaut dengan kampanye serupa temuan Socket pada Juli 2026.

Operasi malware Android baru bertajuk MR ROBOT terdeteksi membidik nasabah perbankan India dan mengubah lanskap penipuan finansial menjadi bisnis berlangganan, di mana para penjahat siber dapat menyewa trojan perbankan kustom untuk merampok kode OTP, data kartu kredit, PIN UPI, dan kredensial akun sembari mengalihkan panggilan telepon diam-diam guna menerobos verifikasi dua langkah. "Ini bukanlah aksi aktor perorangan melainkan platform crimeware sewaan: operator utama menyewakan akses kepada para afiliasi, yang memanfaatkan bot Telegram ('APK Shield') dan panel kendali web versi 7.0 untuk merakit trojan bank secara fleksibel serta menyebarkannya lewat laman tiruan Play Store dan pesan pancingan," beber CloudSEK. Peranti lunak jahat ini sanggup meniru tampilan sekitar 36 aplikasi resmi, mencakup perbankan, layanan utilitas, hingga portal pemerintah. Salah satu afiliasinya tercatat sukses menyadap 5.407 pesan teks rahasia dari 153 ponsel korban yang terinfeksi.

Para penjahat siber kini juga menyalahgunakan platform Mobile Device Management (MDM) resmi yang sah, seperti Hexnode dan Rippling, dengan melancarkan rekayasa sosial demi mendaftarkan perangkat korban atau menyusupkan agen manajemen jarak jauh, menurut laporan Huntress. "Begitu kendali tertanam, sistem MDM menyediakan jalur akses berhak istimewa yang sangat tepercaya untuk menggelar aksi jahat lanjutan, seperti menanam perkakas RMM ilegal dan melanggengkan kendali jarak jauh," papar lembaga tersebut.

Kelompok peretas dilaporkan gencar mengeksploitasi kerentanan CVE-2026-42589 (skor CVSS: 9.8), sebuah celah eksekusi kode jarak jauh berkategori kritis pada Gotenberg, demi meluncurkan muatan reverse shell berbasis bahasa Go yang dinamai 'cache_base'. Celah fatal ini sejatinya telah ditambal sejak Mei 2026. Menurut VulnCheck, gelombang serangan terdeteksi bersumber dari alamat IP residensial di Jepang pada permulaan Oktober 2026. "Alur eksekusinya sangat ringkas: mengunci proses sistem, menghimpun informasi mesin host, menghubungi peladen C2, mendaftarkan identitas korban, lalu mengaktifkan terminal shell interaktif," jelas VulnCheck. Dalam rentang 30 hari terakhir, celah tersebut membukukan 1.358 insiden eksploitasi aktif yang berasal dari 128 alamat IP sumber yang berbeda.

Discord mengumumkan kebijakan kontroversial di mana mesin pencari daring diizinkan mengindeks seluruh riwayat obrolan pada Discoverable Servers serta membuatnya dapat diakses bebas di web oleh publik tanpa memerlukan akun maupun undangan resmi mulai pertengahan Desember 2026. "Percakapan di dalam Discoverable Servers nantinya akan jauh lebih mudah ditemukan lewat mesin telusur web biasa, memudahkan pencarian solusi sekaligus mengundang publik masuk ke dalam obrolan Discord," klaim perwakilan platform. Kebijakan keterbukaan ini hanya berlaku spesifik bagi peladen publik berkategori Discoverable dan dipastikan tidak menyentuh peladen tertutup maupun ruang pesan pribadi (DM).

Operasi ransomware The Gentlemen tercatat telah mengklaim lebih dari 800 organisasi korban di berbagai belahan benua dan lintas sektor industri, dengan mayoritas korban berdomisili di Amerika Serikat dan kawasan Eropa. "Geng ini mendukung peretasan lintas platform, merilis varian pemeras berkas yang menargetkan sistem operasi Windows, Linux, penyimpanan NAS, hingga ekosistem BSD, memberi keleluasaan afiliasi untuk mengacak-acak infrastruktur korporasi modern," tutur Acronis. "Operasi mereka lazim membonceng alat pelumpuh sistem pertahanan EDR. Pada insiden mutakhir, program pemuat (dropper) khusus terpantau mengeksploitasi celah pengemudi rentan Safetica ProcessMonitorDriver [CVE-2025-70795] serta driver BootRepair.sys dari Lenovo untuk menghentikan paksa proses keamanan mesin."

Firma Pillar Security mempublikasikan temuan celah keamanan eksekusi kode arbitrer pada mekanisme pemuatan model inti milik Unsloth (CVE-2026-93348, skor CVSS: 8.6). Celah fatal ini telah berhasil diperbaiki pada pustaka unsloth_zoo versi 2026.8.14. "Konfigurasi model AI yang dikendalikan oleh penyerang dapat memicu eksekusi kode Python berbahaya selama proses pemuatan awal berjalan," ungkap periset Ariel Fogel. "Kode instruksi berbahaya tersebut dieksekusi tepat di dalam prosesor pemuatan model, mewarisi seluruh hak akses yang dimiliki proses tersebut untuk membaca, memanipulasi, maupun mengautentikasi sistem. Dalam lingkungan pengembangan AI, hal ini sangat fatal karena mencakup akses terhadap dataset kepemilikan bernilai tinggi, artefak model orisinal, token Hugging Face, serta kredensial infrastruktur komputasi awan. Skenario eksploitasi mengharuskan sistem pemuatan memproses konfigurasi berbahaya yang telah dimanipulasi peretas."

Penyedia solusi keamanan siber XBOW mengonfirmasi temuan kerentanan eksekusi kode jarak jauh berkategori kritis tanpa autentikasi pada sebuah aplikasi web publik yang dikelola oleh Komisi Bantuan Pemilu Amerika Serikat (EAC). "Aplikasi rentan yang teridentifikasi tersebut merupakan kalkulator logistik kebutuhan sumber daya lapangan, bukan bagian dari mesin pemungutan suara elektronik maupun basis data registrasi pemilih terdaftar," tegas periset XBOW Ariel Walter Garcia. "Celah ini memungkinkan peretas tanpa hak akses untuk mengeksekusi rentetan instruksi kode dengan wewenang tertinggi root di dalam wadah kontainer backend, membuka akses penuh ke sumber daya internal yang terisolasi serta fasilitas jaringan keluar, membentuk pijakan kokoh yang dapat diraih hanya lewat pengiriman permintaan web terstruktur khusus tanpa autentikasi."