Kelompok APT Kembangkan Senjata Baru, Serangan Siber Kian Sulit Terdeteksi

Bayangan baru muncul di dunia siber Asia Pasifik. Tanpa suara, tanpa jejak, kelompok bernama Mysterious Elephant menjalankan misi yang membuat banyak lembaga pemerintahan di kawasan ini waspada. Bukan sekadar mencuri data, kelompok ini menargetkan jantung komunikasi diplomatik, dari dokumen rahasia hingga percakapan pribadi di WhatsApp.

Diidentifikasi sejak awal 2025 oleh tim Riset dan Analisis Global Kaspersky (GReAT), Mysterious Elephant tengah menggelar kampanye baru dengan pendekatan yang jauh lebih halus. Mysterious Elephant tidak lagi mengandalkan malware generik, tetapi memadukan alat buatan sendiri dengan perangkat sumber terbuka. 

Dari temuan Kaspersky, kelompok Advanced Persistent Threat (APT) ini mengirim email spear-phishing yang disesuaikan dengan profil korban, disertai dokumen berbahaya yang tampak resmi. Begitu korban membuka lampiran, jaringan internal pun mulai terbuka lebar bagi para penyerang untuk bergerak.

Baca Juga: Perusahaan Indonesia Rentan Kena Serangan Siber, Ada 2.915 Eksploitasi Setiap Hari

Skrip PowerShell menjadi tulang punggung operasi Mysterious Elephant. Melalui skrip ini, kelompok tersebut dapat menjalankan perintah jarak jauh, menanamkan malware tambahan, serta mempertahankan akses pada sistem yang sudah disusupi. 

Skrip tersebut menggunakan alat dan utilitas sistem yang sah untuk melakukan operasi berbahaya. Salah satu alat utama dalam gudang senjata kelompok ini adalah BabShell.

Setelah dieksekusi, Mysterious Elephant mengaktifkan BabShell, sebuah reverse shell yang memberi mereka kendali penuh atas perangkat korban. Dari sana, sistem akan mengirimkan informasi penting seperti nama pengguna, nama komputer, dan alamat MAC yang membantu mereka memetakan target secara detail. 

Adapun yang lebih berbahaya, BabShell juga digunakan sebagai peluncur modul berbahaya lain bernama MemLoader HidenDesk, yang mampu mengeksekusi muatan jahat langsung di dalam memori komputer. 

Teknik ini membuat aktivitas mereka hampir tak terdeteksi karena tidak meninggalkan banyak jejak di sistem. Serangan pun kian sulit diidentifikasi, terlebih karena kelompok ini menggunakan enkripsi dan kompresi untuk menutupi jejak digitalnya.

Kampanye ini khususnya terkenal karena fokusnya pada pencurian data WhatsApp. Para penyerang telah mengembangkan modul khusus yang mampu mengekstrak file yang dibagikan melalui aplikasi, termasuk dokumen sensitif, foto, dan arsip.

Bagi lembaga pemerintah dan organisasi yang menggunakan WhatsApp untuk komunikasi resmi, serangan ini jelas membuka celah besar terhadap potensi kebocoran data. Kepala Peneliti Keamanan Kaspersky GReAT Noushin Shabab, menjelaskan infrastruktur penyerang dibangun untuk kerahasiaan dan ketahanan, menggunakan jaringan domain dan alamat IP, rekaman DNS wildcard, VPS, dan hosting cloud. 

“DNS wildcard memungkinkan kelompok tersebut menghasilkan subdomain unik untuk setiap permintaan, meningkatkan skala operasi dengan cepat, dan mempersulit pelacakan oleh tim keamanan,” tutur Shahab. 

Dia menegaskan bahwa memahami pola operasi kelompok dan berbagi intelijen ancaman, merupakan langkah penting untuk mengurangi risiko serangan. “Organisasi juga harus menerapkan langkah-langkah keamanan yang kuat, termasuk pembaruan perangkat lunak secara berkala, pemantauan jaringan, dan pelatihan karyawan,” tambahnya.

Shahab menyebut ada sejumlah cara untuk mencegah serangan serupa bagi organisasi atau perusahaan. Pertama, pastikan agen keamanan dikerahkan di semua stasiun kerja dalam organisasi tanpa terkecuali, untuk memungkinkan deteksi insiden tepat waktu dan meminimalkan potensi kerusakan.

Kedua, tinjau dan kendalikan hak istimewa layanan dan akun pengguna, hindari pemberian hak yang berlebihan,  terutama untuk akun yang digunakan di beberapa host dalam infrastruktur. Ketiga, untuk melindungi perusahaan dari berbagai ancaman, gunakan solusi keamanan pihak ketiga yang menyediakan perlindungan waktu nyata, visibilitas ancaman, investigasi, dan kemampuan respons EDR dan XDR untuk organisasi dengan berbagai skala dan industri. 

Keempat, terapkan layanan keamanan terkelola yang mencakup seluruh siklus manajemen insiden, mulai dari identifikasi ancaman hingga perlindungan dan remediasi berkelanjutan. Mereka membantu melindungi dari serangan siber yang bersifat sembunyi-sembunyi, menyelidiki insiden, dan mendapatkan keahlian tambahan bahkan jika perusahaan kekurangan tenaga keamanan siber.

Kelima, memberikan profesional InfoSec visibilitas mendalam tentang ancaman siber yang menargetkan organisasi. Informasi ini penting untuk memberikan konteks yang kaya dan bermakna di seluruh siklus manajemen insiden dan membantu mereka mengidentifikasi risiko siber secara tepat waktu.

Baca Juga: Pakar Siber Ungkap Penyebab & Cara Mengetahui Ponsel Disadap