Tortoiseshell: Hacker Iran Menyusup Lebih Dalam ke Jaringan Korban melalui Reverse SSH Tunnel dan Backdoor Canggih

Mengenal Reverse SSH Tunnel

SSH (Secure Shell) adalah protokol jaringan kriptografi yang memungkinkan komunikasi data yang aman, login jarak jauh, dan eksekusi perintah di antara dua komputer melalui jaringan yang tidak aman. Reverse SSH Tunnel adalah teknik di mana klien SSH (komputer korban) memulai koneksi keluar ke server SSH (server penyerang) dan kemudian membuat terowongan yang memungkinkan server penyerang untuk mengakses kembali layanan di jaringan korban. Ini sangat efektif untuk melewati firewall yang biasanya memblokir koneksi masuk.

Evolusi Taktik Tortoiseshell

Aktor ancaman yang dikenal sebagai Tortoiseshell (juga disebut Mirage Kitten, UNC1549, atau Nimbus Manticore) telah aktif sejak 2018. Kelompok ini menargetkan sektor pertahanan, kedirgantaraan, penyedia layanan IT, dan entitas militer di Timur Tengah dan Amerika Serikat. Mereka dikenal melakukan kompromi rantai pasokan, operasi watering-hole, portal rekrutmen palsu, dan menggunakan malware kustom. Aktivitas mereka dinilai selaras dengan kepentingan negara Iran.

Detail Teknis Serangan

Salah satu komponen baru yang diidentifikasi adalah DLL 64-bit bernama wtsapi32.dll. Malware ini menyamar sebagai API Windows Terminal Server SDK yang sah. Di balik penyamaran ini, implant tersebut memanggil klien OpenSSH Windows asli untuk membuat reverse SSH tunnel ke infrastruktur penyerang di 172[.]86[.]98[.]113 melalui port 443. Perintah yang digunakan menonaktifkan verifikasi kunci host dan mengarahkan pendengar jarak jauh kembali ke lingkungan korban melalui -R 1081. Ini berarti koneksi ke localhost:1081 di server penyerang dapat diteruskan melalui sesi SSH terenkripsi ke jaringan yang disusupi.

Backdoor Mirip TWOSTROKE

Group-IB juga menemukan sampel wtsapi32.dll kedua yang sangat mirip dengan TWOSTROKE, sebuah backdoor C++ yang didokumentasikan oleh Google. Malware ini secara dinamis menyelesaikan API Windows, mendekripsi string sensitif saat runtime, dan meluncurkan thread pekerja untuk mengelola komunikasi C2 melalui WinHTTP. Implant ini menghasilkan pengidentifikasi korban dari nama domain sistem, mengenkripsinya dengan XOR menggunakan kunci 'Pn', mengkodekannya dalam heksadesimal, dan mengubah bagian belakang sebelum mengirimkannya dalam permintaan HTTPS POST. Sampel yang dilaporkan mencakup tiga endpoint C2 cadangan: neexportfolio[.]com, neexportfolio.azurewebsites[.]net, dan neexportfolio.eastus.cloudapp.azure[.]com.

Kemampuan dan Infrastruktur C2

Setelah terhubung, backdoor ini dapat menerima perintah untuk mengeksfiltrasi file, mengunduh payload, menjalankan eksekusi atau perintah shell, memuat DLL dalam memori, menghitung direktori, mengumpulkan nama pengguna dan nama host, serta menghapus file. Penggunaan pemisah @##@ untuk bidang perintah semakin selaras dengan alat yang sebelumnya dikaitkan dengan UNC154. Penyelidikan lebih lanjut oleh Group-IB mengaitkan aktivitas ini dengan infrastruktur yang terikat pada 185.253.116[.]81 dan domain seperti locat[.]sbs serta tiktok-u[.]sbs. Subdomain seperti uae1 hingga uae14, sau1 hingga sau3, uk, bel, can, au, dan jp menunjukkan pemetaan infrastruktur berdasarkan negara atau segmen operasional.

Mitigasi dan Pencegahan

Untuk pertahanan, prioritasnya adalah mencari eksekusi ssh.exe yang tidak biasa dari host Windows, terutama opsi penerusan terbalik seperti -R, SSH keluar melalui port 443, DLL yang meniru wtsapi32.dll, dan koneksi ke infrastruktur C2 yang teridentifikasi. Penting juga untuk memantau akses vendor, C2 lookalike yang di-host di cloud, perilaku DLL side-loading, dan listener proxy lokal yang tidak dapat dijelaskan. Dengan memahami taktik ini, organisasi dapat memperkuat pertahanan mereka dan mendeteksi ancaman lebih awal.

Tetap waspada dan terus perbarui sistem keamanan Anda untuk melindungi diri dari ancaman siber yang terus berkembang. Keamanan siber adalah tanggung jawab bersama.