59 Bug Kernel Linux hingga Spyware Falcon: Ancaman Siber Pekan Ini

Laporan ThreatsDay pekan ini mengungkap 59 bug kernel Linux yang ditemukan Microsoft, spyware Falcon yang mengintai email pemerintah, dan lonjakan 356% serangan GSocket. Europol juga menyita 235 server dalam operasi besar-besaran.

59 Bug Kernel Linux dan Eskalasi Hak Istimewa

Microsoft mengumumkan hasil pemindaian terhadap sebagian subsistem kernel Linux yang dilakukan antara akhir Mei dan pertengahan Juni 2026. Pemindaian itu menggunakan alat bernama MDASH dan menghasilkan 26.502 temuan mentah. Dari jumlah tersebut, 59 laporan publik diajukan ke upstream dan 33 CVE berhasil ditetapkan.

Yang lebih mengkhawatirkan, Microsoft mengklaim memiliki eksploitasi eskalasi hak istimewa root yang berfungsi untuk delapan CVE, termasuk CVE-2026-64563. Bug itu disebut sebagai kesalahan reset status satu baris pada rhashtable, tabel hash yang dapat diubah ukurannya di kernel Linux.

"Karena pemanggil mempercayai pointer objek yang dikembalikan oleh penelusuran tabel, cacat pustaka kecil ini memungkinkan eskalasi hak istimewa lokal yang stabil pada Linux — dan memengaruhi Android dengan SELinux yang diaktifkan — tanpa memerlukan konfigurasi kernel khusus atau ruang nama pengguna," ujar Microsoft dalam laporannya.

Artinya, penyerang yang sudah memiliki akses lokal ke sistem dapat menaikkan hak aksesnya menjadi root. Ini bukan serangan jarak jauh, tetapi tetap menjadi masalah serius karena banyak sistem produksi menjalankan kernel yang belum ditambal.

Falcon: Spyware Browser Targetkan Email Pemerintah

Palo Alto Networks Unit 42 mengungkap kerangka command and control (C2) bernama Falcon, yang juga dikenal sebagai XG atau Xiàng Gē. Kerangka ini mengompromikan peramban korban dengan menjalankan JavaScript berbahaya. Falcon memiliki struktur URL, mekanisme pengiriman payload, dan protokol komunikasi yang hampir identik dengan PeckBirdy, kerangka C2 JavaScript yang muncul awal tahun ini.

"Aktor memanfaatkan Falcon untuk mengompromikan pengunjung portal webmail dan aplikasi web pemerintah dengan menempatkan JavaScript berbahaya langsung di dalam situs-situs tersebut," kata Unit 42. "Beroperasi sepenuhnya di dalam konteks peramban, penyerang menggunakan kerangka ini untuk memuat samping ekstensi Chrome berbahaya dan mencuri informasi berikut: kata sandi, email, cookie sesi, [dan] komunikasi."

Falcon juga digunakan untuk mengirim implan bernama Antino, yang memakai Microsoft OneDrive sebagai saluran C2. Aktivitas ini menargetkan entitas pemerintah di satu negara Timur Tengah dan empat negara Asia Tenggara antara Maret dan Mei 2026.

"Kampanye yang kami amati menargetkan kementerian luar negeri, pertahanan dan dalam negeri, serta lembaga penegak hukum, konsisten dengan tujuan pengumpulan intelijen strategis," ujar Unit 42.

GSocket Backdoor Melonjak 356%

Microsoft juga melaporkan lonjakan deteksi GSocket, alat akses jarak jauh open-source, sebesar 356,2% dari Maret hingga Agustus 2026. Penyerang menempatkan GSocket di server Linux yang menghadap internet untuk mempertahankan akses setelah kerentanan asli ditambal.

"Karena GSocket merelai lalu lintas melalui jaringan publik bersama, tidak ada alamat IP atau domain milik aktor ancaman yang dapat diblokir," kata Microsoft. "Pembela harus mencari penyebaran GSocket, persistensi, eskalasi hak istimewa, dan koneksi keluar pada host yang terpengaruh, bukan menganggap penambalan aplikasi saja sebagai remediasi lengkap."

Sebagian besar target berada di sektor pendidikan dan riset, diikuti teknologi dan komunikasi, manufaktur, serta entitas pemerintah. Deteksi terkonsentrasi pada aplikasi web PHP, host cPanel, dan Apache.

Europol Sita 235 Server dalam Operasi GootLoader

Europol bersama mitra global berhasil melumpuhkan infrastruktur kriminal di balik malware GootLoader, CastleRAT, dan StealC. Sebanyak 235 server dan 257 domain disita.

"Operasi ini menargetkan model 'cybercrime-as-a-service', di mana alat-alat ini memungkinkan kejahatan lebih lanjut seperti serangan ransomware dan pencurian data," kata Europol.

Otoritas juga mengidentifikasi lebih dari 6 juta kredensial korban. "Para tersangka menggunakan kredensial ini, yang dicuri dari korban setelah mereka terinfeksi, untuk dijual dan kemudian digunakan dalam serangan siber lain seperti ransomware," tambah Europol.

Operasi ini menjadi pukulan bagi ekosistem kejahatan siber berbayar yang memungkinkan aktor dengan keterampilan terbatas melancarkan serangan canggih.

Ransomware Citrus dan Penyalahgunaan Akses Kontraktor

Kelompok ransomware berbahasa Rusia bernama Citrus menargetkan sistem Windows di lingkungan korporat. Mereka mendapatkan akses melalui akun kontraktor yang terkompromi dan menggunakan skrip PowerShell, file batch, serta perintah yang dihasilkan AI pada tahap lanjutan intrusi.

Untuk mengurangi visibilitas, pelaku menghapus alat dan file output setelah eksekusi, membersihkan riwayat perintah, dan menghapus log peristiwa. Mereka juga menyamarkan alat dengan nama yang tampak sah menggunakan merek tepercaya. Ransomware ini merupakan varian keluarga Sn00py yang ditulis dalam Go dan menambahkan ekstensi .citrus pada file yang dienkripsi.

"Citrus menonjol karena cara konten yang dihasilkan AI tampaknya mendukung aktivitas intrusi langsung pada sistem yang terkompromi," kata Stanislav Larinsky, pakar Kaspersky Security Services. "Dalam kasus yang kami selidiki, penyerang menggabungkan akses akun pihak ketiga, upaya eskalasi hak istimewa, dan teknik penyebaran seluruh domain. Insiden ini menunjukkan bagaimana akses kontraktor yang terbatas dapat menjadi jalur kompromi yang lebih luas jika tidak dikontrol secara ketat dan dipantau secara berkelanjutan."

BluePhishing dan Penyalahgunaan OAuth Agen AI

Proofpoint mengungkap teknik baru bernama BluePhishing, yang disebut sebagai "evolusi berikutnya dari penyalahgunaan persetujuan OAuth". Teknik ini memungkinkan aktor jahat memanfaatkan identitas agen seperti Microsoft Entra Agent ID untuk akses awal.

"BluePhishing secara sosial merekayasa korban agar memberikan persetujuan kepada blueprint agen berbahaya untuk akses awal," kata Proofpoint. "Dengan mengeksploitasi celah dalam visibilitas dan tata kelola seputar adopsi agen AI yang sedang berkembang, penyerang dapat menyalahgunakan tautan persetujuan sekali pakai untuk membuat identitas agen di tenant target, memperoleh token akses, dan beroperasi dengan hak istimewa yang diberikan kepada agen tersebut."

Ini menunjukkan bahwa adopsi agen AI membuka permukaan serangan baru yang belum sepenuhnya dipahami oleh banyak organisasi.

Ancaman Lain: Armorsteal, Grandoreiro, dan Silent Lynx

Kampanye SEO poisoning menggunakan situs web palsu yang meniru manajer paket Chocolatey dan alat Microsoft Activation Scripts (MAS) untuk menyebarkan malware berbasis Python bernama Armorsteal. Menurut Zscaler, installer tersebut menyebarkan runtime Python 3.11 dan tiga komponen utama yang menyediakan akses jarak jauh, pengawasan, dan pencurian informasi, dengan kode Python dilindungi oleh Pyarmor.

Di Amerika Latin, kampanye malware perbankan Grandoreiro menargetkan pengguna di Argentina, Chile, Kolombia, Meksiko, dan Peru melalui umpan phishing yang disesuaikan per negara. Rantai phishing menggunakan domain yang baru terdaftar dan pengalihan berlapis untuk menghindari deteksi. Payload akhir diambil melalui Domain Generation Algorithm (DGA) yang di-seed dengan tanggal saat ini.

Sementara itu, server Silent Lynx yang terekspos mengungkap operasi spionase siber yang menargetkan pemerintah Asia Tengah dan infrastruktur kritis dari April hingga Oktober 2026. "Direktori tersebut menyimpan perkakas kelompok bersama data dari intrusi aktif ke organisasi pemerintah dan infrastruktur kritis di seluruh kawasan, dan agen AI yang diandalkan operator untuk menjalankannya," kata CloudSEK.

CloudSEK menilai dengan keyakinan sedang bahwa operator memiliki keterkaitan dengan Kazakhstan: operasi berjalan dalam bahasa Rusia, dan lalu lintas uji operator berasal dari koneksi residensial Kazakhstan. Prioritas pengumpulan mencakup transportasi, korespondensi pertahanan, dan kementerian sumber daya di negara tetangga, yang menunjukkan pengumpulan intelijen regional daripada motif finansial.

Langkah Pertahanan dan Respons Microsoft

Microsoft mengambil beberapa langkah untuk memperkuat pertahanan. Mulai 10 November 2026, perusahaan mengaktifkan perlindungan tambahan di Windows untuk mengatasi CVE-2026-118737 (skor CVSS 8.1), kerentanan eksekusi kode jarak jauh kritis di Remote Procedure Call Runtime. "Pembaruan ini mewakili fase pertama peningkatan penandatanganan pesan NTLM," kata Microsoft. "Perubahan ini membantu memastikan bahwa sesi NTLM yang terautentikasi selalu membentuk kunci sesi kriptografis dan menegosiasikan penandatanganan pesan yang sebenarnya, mengurangi paparan terhadap serangan relay." Server Windows akan mulai mewajibkan penandatanganan NTLM secara default mulai Mei 2027.

Microsoft 365 Mailbox Replication Service (MRS) juga menambahkan dukungan OAuth untuk migrasi kotak surat antara Microsoft 365 dan Exchange on-premises. "Setelah OAuth untuk MRS dikonfigurasi, administrator tenant dapat membuat endpoint migrasi OAuth dan menggunakannya dalam batch migrasi atau dalam pekerjaan pemindahan onboarding dan offboarding," kata Microsoft.

Di sisi lain, Meta memperluas teknologi estimasi usia berbasis AI secara global untuk menempatkan jutaan remaja dalam perlindungan Akun Remaja di Instagram. "Kami menggunakan teknologi AI untuk menemukan orang yang kami curigai sebagai remaja, bahkan jika mereka menggunakan tanggal lahir dewasa, dan menempatkan mereka dalam perlindungan Akun Remaja," kata Meta.

Namun, masih ada insiden yang menunjukkan kelalaian. The Planning Inspectorate, agen eksekutif Kementerian Perumahan, Komunitas, dan Pemerintah Lokal Inggris (MHCLG), mengalami masalah keamanan yang kini telah ditambal. Kredensial aplikasi Microsoft Entra ID lengkap ditempatkan dalam teks biasa di repositori GitHub. "Meskipun dihapus dari cabang, komit tersebut menjadi yatim melalui force push dan tetap dapat diambil melalui CDN objek mentah GitHub selama 18 bulan," kata ControlPlane. Rahasia klien dihapus sekitar 20 menit setelah pengungkapan yang bertanggung jawab pada 26 Agustus 2026.

Selain itu, jaringan pencucian uang kripto Korea Utara yang terkait dengan pencurian $6,43 miliar dari Binance menggunakan metode otomatis yang kompleks. "Sejak pencurian, mereka telah menggunakan lebih dari 20.000 dompet di 16 blockchain, setidaknya 36 layanan, dan setidaknya 65.000 transaksi," kata Dr. Tom Robinson, pendiri dan kepala ilmuwan Elliptic. "Sekitar $3,0 miliar masih berada di alamat yang terkait dengan pencurian, sebagian besar dalam bentuk ETH dan BTC. Jumlah yang dapat diuangkan kemungkinan sangat kecil."

Analisis Redaksi

Rangkuman ancaman pekan ini menunjukkan pola yang konsisten: penyerang memanfaatkan hal-hal yang tampak normal. Situs web palsu yang menyerupai alat pengembang, permintaan akses OAuth yang tampak sah, dan akun kontraktor yang dipercaya menjadi pintu masuk. Serangan tidak selalu datang dari eksploitasi zero-day yang canggih, tetapi dari kelalaian operasional dan kurangnya pengawasan.

Lonjakan GSocket sebesar 356% dalam enam bulan menjadi sinyal bahwa após penambalan, banyak organisasi menganggap pekerjaan selesai. Padahal, penyerang justru bersembunyi di server yang sudah ditambal dengan alat akses jarak jauh yang sulit diblokir karena menggunakan jaringan publik bersama. Ini menuntut pendekatan deteksi yang lebih proaktif, bukan sekadar reaktif.

Di sisi lain, langkah Microsoft menemukan 59 bug kernel Linux patut diapresiasi, tetapi juga memunculkan pertanyaan tentang ketergantungan pada satu vendor untuk mengaudit fondasi infrastruktur global. Sementara itu, operasi Europol yang menyita 235 server menunjukkan bahwa penegakan hukum masih mampu memberikan pukulan nyata, meski perang melawan kejahatan siber berbayar akan terus berlanjut.

Yang paling mengkhawatirkan adalah penyalahgunaan AI. Mulai dari agen AI yang dipaksa memberikan akses melalui BluePhishing hingga pembuatan skrip dan konten oleh AI dalam serangan ransomware Citrus. AI tidak hanya mempercepat serangan, tetapi juga menciptakan permukaan serangan baru yang belum sepenuhnya dipahami. Organisasi perlu segera memperluas tata kelola identitas dan akses ke ranah agen AI, bukan hanya pengguna manusia.

Sumber: thehackernews.com, europol.europa.eu