ThreatsDay: Spyware Android, Serangan PLC, Injeksi Prompt AI + 12 Ancaman Lainnya

Bulletin ThreatsDay minggu ini mengungkap berbagai ancaman siber yang menyamar sebagai sesuatu yang berguna, mulai dari paket berbahaya yang mencuri data, ekstensi palsu yang membuka akses jarak jauh, aplikasi keamanan yang berubah menjadi spyware, hingga gambar yang menyisipkan perintah tersembunyi untuk agen AI. Ancaman lain tersembunyi di sistem terbuka, kode lemah, dan lalu lintas jaringan biasa.

Berikut rangkuman lengkap 15 cerita keamanan siber terbaru yang wajib diketahui oleh pengguna dan profesional TI:

Perubahan Keamanan Pada GitHub Enterprise Server

GitHub mengumumkan perubahan keamanan yang akan mulai berlaku pada 18 Agustus 2026, yaitu menolak upload paket dukungan command-line dari perangkat GHES lama yang belum diperbarui dengan patch keamanan wajib. Patch minimum yang harus diinstal adalah versi 3.21.3, 3.20.5, 3.19.9, 3.18.12, dan 3.17.18. Hal ini bertujuan menghindari gangguan saat mengirimkan paket dukungan melalui perintah terkait.

Paket Npm Memicu Pencurian Data di macOS

Sebuah paket npm bernama @copilot-mcp/apex bertindak sebagai dropper malware yang menginstal infostealer khusus macOS. Malware ini mencuri password login lewat prompt palsu, kemudian mengambil kredensial browser, lebih dari 20 dompet kripto, kunci SSH, kredensial AWS dan Kubernetes, serta riwayat shell dan aplikasi lain, lalu mengunggah semua data ke server penyerang.

Malware juga membuat LaunchAgent yang menghubungi server kontrol setiap 60 detik agar infeksi bertahan lama.

Ekstensi VS Code Palsu Buka Pintu Belakang

Ekstensi Microsoft Visual Studio Code palsu bernama "Markdown All Pro" meniru ekstensi asli "Markdown All in One" yang memiliki lebih dari 14 juta unduhan. Setelah dipasang, ekstensi ini mengirimkan nama pengguna dan hostname ke IP tertentu tanpa enkripsi dan memungkinkan operator mengirim perintah tambahan secara remote.

Setelah Microsoft menghapusnya, ekstensi tersebut muncul kembali dengan nama sangat mirip, namun kini sudah dihapus juga.

PyPI Batasi Upload File pada Rilis Lama

Python Package Index (PyPI) menolak upload file baru ke rilis versi paket yang sudah berumur lebih dari 14 hari. Kebijakan ini dibuat untuk mencegah penyusupan pada proyek stabil lama jika token atau workflow proyek dikompromikan.

Kampanye Malware Banking Lampion di Portugal

Malware Lampion, berasal dari Brasil dan menargetkan pengguna berbahasa Portugis, menyebar melalui email phishing yang menyamar sebagai korespondensi keuangan. Malware ini menggunakan arsip ZIP berisi file HTML yang sangat disamarkan untuk menghindari deteksi dan mengaktifkan rantai infeksi multi-tahap yang kompleks.

Penipuan Iklan Android Setelah Panggilan Telepon

Sebuah skema penipuan iklan bernama "AfterCall" menggunakan aplikasi Android yang menipu pengguna untuk memberikan izin khusus. Izin ini memungkinkan aplikasi menampilkan iklan secara agresif segera setelah panggilan telepon selesai, menghasilkan ratusan juta tayangan iklan secara curang.

Kampanye Malvertising Fake Claude dengan RAT SectopRAT

Antara 21-22 Juli 2026, sedikitnya 29 organisasi menjadi korban kampanye malvertising yang mengarahkan pengguna ke file berbahaya di domain resmi Claude.ai. File eksekusi palsu ini mengunduh malware RAT bernama SectopRAT yang menggunakan teknik anti-analisis canggih, seperti proteksi VMProtect dan pemeriksaan perangkat keras grafis untuk mendeteksi mesin virtual.

Injeksi Prompt Tersembunyi dalam Gambar oleh GhostCommit

Teknik baru bernama GhostCommit menyembunyikan instruksi berbahaya dalam gambar PNG yang diproses oleh agen AI berbasis LLM. Instruksi ini mengarahkan agen membaca file rahasia (.env) byte per byte dan mengkodekannya sebagai kode ASCII untuk mencuri rahasia repositori secara diam-diam.

Aktivitas Iran Targetkan PLC dan Infrastruktur Kritis AS

Pembaruan dari CISA memperingatkan aktivitas siber berafiliasi Iran yang menyerang perangkat teknologi operasional (OT) seperti PLC dari Rockwell Automation, Schneider Electric, dan Siemens. Serangan ini berupaya mengunduh file proyek jahat dan memanipulasi data pada HMI dan SCADA di sektor air, energi, dan layanan pemerintah AS.

Aplikasi Palsu Sipil Bahrain Jadi Alat Pengawasan

Sebuah aplikasi Android palsu bernama "BH Alert" yang menyamar sebagai aplikasi sirene sipil Bahrain ternyata menyebarkan malware OctagonPanel. Malware ini mencuri data sensitif seperti kredensial layar kunci, SMS, kontak, tangkapan layar, dan bahkan mengendalikan perangkat secara remote.

Malware MarkiRAT dari Aktor Iran Menyebar Lewat Aplikasi Palsu

Kelompok bernama TAG-182 yang terkait dengan Iran menyebarkan malware MarkiRAT melalui aplikasi Android palsu seperti VPN dan alat media untuk mengintai warga Iran di dalam dan luar negeri.

Vibe-Coded Apps Terbukti Memiliki Banyak Kerentanan

Analisis 28 aplikasi yang dikodekan menggunakan AI mengungkap 434 kerentanan unik, termasuk kegagalan pembatasan laju, eksposur rahasia sensitif, dan bug otorisasi yang memungkinkan akses data tidak sah.

Model AI Frontier Dijadikan Alat Serangan oleh Aktor Rusia

Seorang aktor berbahasa Rusia bernama Trim membongkar dan merusak sistem keamanan model AI Frontier seperti Claude Opus, menjadikannya alat untuk pengujian penetrasi berbahaya. Teknik jailbreaking yang digunakan termasuk manipulasi konteks, penghapusan obrolan, dan penggunaan model lokal tanpa batasan keamanan.

Varian TrickBot Gunakan DNS Tunneling untuk Komunikasi Malware

Malware TrickBot terbaru menyembunyikan komunikasi dengan server kontrolnya melalui DNS tunneling, menggunakan paket DNS terenkripsi untuk mengirim perintah dan mengunduh modul tambahan, sehingga sulit dideteksi oleh analisis statis.

Analisis Redaksi

Menurut pandangan redaksi, rangkaian ancaman yang muncul minggu ini menegaskan bahwa teknik penyerangan semakin canggih dan menyamar dengan sangat meyakinkan sebagai alat atau aplikasi yang sah. Pengguna dan organisasi harus lebih waspada terhadap aplikasi dan ekstensi yang diunduh serta mengutamakan pembaruan keamanan rutin untuk menghindari celah dari perangkat lunak lama.

Lebih jauh, injeksi prompt tersembunyi dalam gambar dan eksploitasi AI membuka babak baru dalam ancaman siber yang memanfaatkan teknologi generatif terbaru. Ini menandakan bahwa pengembangan keamanan AI harus dipercepat agar dapat mengantisipasi penyalahgunaan model AI oleh aktor jahat.

Selanjutnya, upaya serangan terhadap infrastruktur kritis seperti PLC menunjukkan perlunya kolaborasi internasional dan peningkatan standar keamanan OT. Langkah proaktif seperti pembatasan akses internet langsung ke PLC dan pengawasan ketat wajib dilakukan. Terus ikuti perkembangan ThreatsDay untuk mendapatkan informasi ancaman terbaru dan cara mitigasinya.

Untuk informasi lebih lengkap, kunjungi sumber asli di The Hacker News dan berita resmi dari CISA.