Jaringan ORB: Tameng Canggih di Balik Serangan Siber

Dalam lanskap keamanan siber yang terus berkembang, kelompok Advanced Persistent Threat (APT) selalu mencari cara baru untuk menyembunyikan jejak mereka. Salah satu metode yang semakin canggih adalah penggunaan jaringan Operational Relay Box (ORB). Jaringan ORB adalah infrastruktur server proxy yang kompleks, dirancang untuk mengalihkan lalu lintas jaringan para penyerang melalui perangkat yang telah dikompromikan di berbagai lokasi geografis. Tujuannya jelas: membuat serangan siber tampak berasal dari lokasi yang sah, sehingga sangat sulit bagi tim keamanan untuk melacak sumber asli serangan dan melakukan atribusi.

Jaringan ini telah didokumentasikan oleh peneliti keamanan terkemuka seperti Google Mandiant dan Cisco Talos. Kelompok APT yang berafiliasi dengan Tiongkok, termasuk UAT-7810 dan UAT-5918, secara aktif memanfaatkan infrastruktur ORB untuk operasi siber rahasia mereka, mulai dari spionase hingga pencurian data sensitif.

UAT-7810 dan Evolusi Malware LONGLEASH

Kelompok hacker UAT-7810 merupakan salah satu aktor ancaman yang paling aktif dalam mengembangkan dan memperluas jaringan ORB mereka. Mereka berfokus pada kompromi perangkat jaringan yang terhubung ke internet, terutama router Ruckus yang belum di-patch. Menurut Cisco Talos, UAT-7810 secara aktif mengembangkan malware baru untuk memperkuat kemampuan jaringan ORB mereka.

Salah satu temuan paling signifikan adalah LONGLEASH, sebuah versi baru yang ditingkatkan dari backdoor sebelumnya, SHORTLEASH. LONGLEASH memiliki kemampuan yang jauh lebih luas, menjadikannya alat yang sangat berbahaya dalam arsenal UAT-7810. Malware ini dibangun di atas versi sebelumnya yang sudah mendukung komunikasi command-and-control (C2), hosting web server, dan manajemen tunnel jaringan.

Kemampuan Canggih LONGLEASH

LONGLEASH tidak hanya mewarisi kemampuan SHORTLEASH, tetapi juga menambahkan fungsionalitas baru yang signifikan. Beberapa kemampuan utama LONGLEASH meliputi:

• Komunikasi Command-and-Control (C2): Memungkinkan penyerang untuk mengelola dan mengirimkan perintah ke perangkat yang terinfeksi dari jarak jauh.
• Hosting Web Server: Menyediakan kemampuan untuk menghosting server web tersembunyi di perangkat yang terkompromikan.
• Manajemen Tunnel Jaringan: Membuat terowongan jaringan yang aman untuk mengalihkan lalu lintas rahasia dan menghindari deteksi.
• Proxy Socks5: Meneruskan lalu lintas jaringan melalui proxy Socks5 untuk lebih menyamarkan identitas dan lokasi penyerang.
• Eksekusi Kode Arbitrary di Memori: Menjalankan kode secara acak langsung di memori host, mempersulit deteksi dan analisis forensik.

UAT-7810 mendapatkan akses awal ke perangkat dengan mengeksploitasi kerentanan yang sudah diketahui (n-day) pada router. Beberapa kerentanan yang telah dieksploitasi meliputi CVE-2020-22653, CVE-2020-22658, dan CVE-2023-25717 pada router Ruckus, serta CVE-2025-2492 pada router ASUS AiCloud.

Toolkit Tambahan UAT-7810

Selain LONGLEASH, peneliti juga menemukan alat lain dalam toolkit UAT-7810:

• DOGLEASH: Sebuah backdoor ringan berbasis Linux yang disebarkan melalui skrip web shell. Setelah diluncurkan, ia membuka port TCP dan mengotentikasi permintaan masuk menggunakan kata sandi yang di-hardcode. DOGLEASH mendukung eksekusi perintah shell, akses dan modifikasi file, pengambilan informasi OS, serta eksekusi kode arbitrer langsung di memori host.
• JARLEASH: Alat administrasi berbasis Java yang menyediakan manajemen file berbasis web, termasuk fungsionalitas server FTP, SFTP, dan Netcat.
• LEASHTEST: Utilitas pengujian yang digunakan untuk memverifikasi apakah perangkat IoT berbasis MIPS dapat melakukan fungsi terkait operasi malware, kemungkinan untuk membantu menyempurnakan dukungan LONGLEASH pada arsitektur MIPS.

Mitigasi dan Perlindungan Diri

Ekspansi jaringan ORB oleh UAT-7810, yang didukung oleh malware canggih seperti LONGLEASH dan alat lainnya, merupakan ancaman serius bagi organisasi dan individu. Ancaman utama berasal dari eksploitasi kerentanan yang telah diketahui pada perangkat jaringan yang belum diperbarui.

Berikut adalah langkah-langkah penting untuk melindungi diri dari ancaman ini:

• Perbarui Perangkat Lunak dan Firmware Secara Rutin: Pastikan semua router, firewall, dan perangkat jaringan lainnya selalu menjalankan versi firmware dan perangkat lunak terbaru. Ini termasuk menerapkan patch keamanan segera setelah dirilis.
• Tinjau dan Amankan Konfigurasi Router: Periksa pengaturan default router Anda. Ubah kata sandi default yang lemah, nonaktifkan fitur yang tidak perlu, dan pastikan konfigurasi keamanan sudah optimal.
• Pantau Lalu Lintas Jaringan: Terapkan sistem pemantauan jaringan untuk mendeteksi anomali atau lalu lintas yang mencurigakan yang mungkin mengindikasikan kompromi.
• Gunakan Firewall dan Sistem Deteksi Intrusi (IDS/IPS): Konfigurasikan firewall untuk memblokir akses tidak sah dan gunakan IDS/IPS untuk mendeteksi serta mencegah upaya eksploitasi yang diketahui.
• Lakukan Audit Keamanan Berkala: Lakukan penilaian kerentanan dan pengujian penetrasi secara teratur untuk mengidentifikasi dan memperbaiki kelemahan keamanan sebelum dieksploitasi oleh penyerang.

Melindungi perangkat jaringan dari kerentanan adalah kunci untuk menghentikan ekspansi jaringan ORB dan mencegah kelompok hacker seperti UAT-7810 menggunakannya sebagai landasan untuk serangan yang lebih luas. Tetap waspada dan prioritaskan keamanan siber Anda.