Peretas Manfaatkan AnySign4PC Lewat Situs Korea yang Diretas untuk Pasang Backdoor Tanpa Izin

Sebuah kampanye siber yang diduga didukung oleh negara berhasil memanfaatkan situs web terpercaya di Korea Selatan untuk mengeksploitasi perangkat lunak keamanan finansial lokal, AnySign4PC, dan menginfeksi pengunjung dengan backdoor berbahaya bernama SIGNBT dan COPPERHEDGE tanpa adanya prompt atau permintaan unduhan dari pengguna.

Serangan Melalui Situs Terpercaya yang Diretas

Otoritas keamanan Korea Selatan bersama empat perusahaan keamanan siber mengungkapkan bahwa serangan ini memanfaatkan versi rentan AnySign4PC dari versi 1.1.4.4 hingga 1.1.4.6. Versi 1.1.5.0 telah dirilis sebagai perbaikan dan direkomendasikan untuk segera diinstal atau versi lama dihapus oleh pengguna. Kampanye ini mengandalkan teknik watering-hole, yaitu memanfaatkan situs yang sering dikunjungi target yang sudah dikompromikan untuk menyebarkan malware secara diam-diam.

Korea Internet & Security Agency (KISA) menegaskan bahwa hanya dengan mengunjungi halaman yang terinfeksi, perangkat korban yang menjalankan versi AnySign4PC yang rentan dapat langsung terinfeksi tanpa ada interaksi pengguna seperti mengklik tombol unduh.

Modus Operandi dan Teknik Eksploitasi

Laporan dari AhnLab menyebutkan bahwa penyerang mengirimkan pesan spear-phishing yang disamarkan sebagai resume kerja, undangan rekrutmen, materi investasi, dan survei industri untuk memancing target mengunjungi situs yang sudah diretas. Situs-situs tersebut meliputi berita, layanan kesehatan, pendidikan, manufaktur, hingga situs kecil yang kurang aman namun sering dikunjungi target.

ENKI Whitehat mengidentifikasi AnySign4PC sebagai perangkat lunak tanda tangan elektronik berbasis sertifikat yang memiliki kelemahan zero-day. Penyerang menggunakan rantai eksploitasi yang kompleks, seperti memanfaatkan empat gambar PNG untuk pertukaran kunci, verifikasi versi perangkat lunak, pengiriman kode eksploitasi yang sesuai versi, dan pelaporan keberhasilan eksekusi.

Eksploitasi ini memanfaatkan buffer overflow yang memicu eksekusi shellcode melalui komunikasi WebSocket dengan program keamanan lokal, kemudian payload berbahaya disuntikkan ke dalam proses Microsoft yang sah.

Backdoor SIGNBT dan COPPERHEDGE serta Dampaknya

Berdasarkan penyelidikan AhnLab, malware yang diinstal berupa Struggle (dikenal sebagai SIGNBT 3.0) dan Brandoor (nama untuk backdoor COPPERHEDGE). Keduanya memungkinkan penyerang melakukan eksekusi perintah jarak jauh, pencurian data, pengintaian internal, injeksi proses, dan pengiriman payload tambahan.

Plainbit juga memverifikasi serangan dengan merekonstruksi insiden watering-hole. Penyerang memetakan sistem korban, mengompromikan situs web dengan memasang webshell dan menyisipkan JavaScript berbahaya. Saat korban mengunjungi halaman tersebut, program keamanan yang rentan memicu error dan membuat file DLL jahat tanpa permintaan unduhan.

Backdoor tersebut kemudian mendekripsi tahap berikutnya di memori, menyuntikkan kode ke svchost.exe, dan membaca data dari registry Windows. Penyerang melanjutkan aksinya dengan eksploitasi eskalasi hak istimewa, penggunaan alat kredensial seperti Mimikatz, koneksi Remote Desktop Protocol, dan brute force menggunakan NLBrute untuk bergerak lateral di jaringan.

Jejak Serangan dan Hubungan dengan Ransomware Gunra

Analisis mengungkapkan adanya korelasi teknis antara serangan ini dengan insiden ransomware Gunra yang terjadi pada Maret 2026. Keduanya menggunakan situs layanan kesehatan yang sama yang telah dikompromikan dan memanfaatkan kerentanan serupa pada produk keamanan finansial yang belum diidentifikasi secara rinci.

Beberapa indikator teknis seperti nama file malware (net.tmp dan inet.tmp), sidik jari SSH, serta alamat tunneling balik yang sama menunjukkan kemungkinan jalur akses yang tumpang tindih. Meski demikian, AhnLab belum memastikan apakah kedua operasi ini dijalankan oleh pelaku yang sama, melainkan kemungkinan kolaborasi terbatas, pembagian infrastruktur, atau broker akses bersama.

Gunra sendiri dikenal sebagai ransomware-as-a-service yang telah menyerang puluhan perusahaan, termasuk lima perusahaan Korea Selatan, dengan varian ransomware Windows dan Linux yang dikembangkan sendiri.

Penilaian dan Implikasi Keamanan

Hingga kini, kampanye ini belum secara resmi dihubungkan dengan grup Lazarus meskipun ada beberapa laporan sebelumnya yang mencatat aktivitas Lazarus menggunakan metode serupa dan malware yang sama seperti SIGNBT dan COPPERHEDGE. Pemerintah Korea Selatan dan perusahaan keamanan masih berhati-hati dalam mengaitkan langsung serangan ini dengan kelompok tersebut.

KISA menyarankan agar pengguna segera memperbarui AnySign4PC ke versi terbaru dan menghapus versi rentan. Selain itu, dianjurkan untuk melakukan pemantauan perilaku mencurigakan seperti pemuatan DLL tidak biasa oleh proses sah, data terenkripsi yang disimpan di registry, eksekusi PE di memori, dan jalur tunneling SSH yang tidak umum.

Analisis Redaksi

Menurut pandangan redaksi, kejadian ini menegaskan betapa pentingnya menjaga keamanan rantai pasokan perangkat lunak, khususnya pada aplikasi kritikal seperti perangkat lunak keamanan finansial yang digunakan secara luas. Eksploitasi tanpa interaksi pengguna menandakan tingkat ancaman yang sangat tinggi, di mana pengguna biasa bahkan tidak menyadari telah menjadi korban serangan siber.

Lebih jauh, keterkaitan dengan ransomware Gunra menunjukkan bahwa celah ini tidak hanya dimanfaatkan untuk spionase, tetapi juga berpotensi merugikan secara finansial dan operasional. Ini menjadi peringatan bagi organisasi dan perusahaan agar tidak hanya bergantung pada patch keamanan, tetapi juga mengadopsi sistem deteksi anomali berbasis perilaku untuk mengantisipasi teknik serangan yang semakin canggih.

Masyarakat dan pelaku industri harus terus mengawasi perkembangan patch dan advisori resmi dari KISA dan lembaga terkait, serta meningkatkan kesadaran akan serangan phishing dan watering-hole yang kerap menjadi pintu masuk utama. Investasi pada pelatihan keamanan siber dan audit rutin juga menjadi kunci untuk meminimalisasi risiko.

Untuk informasi lebih lengkap dan pembaruan kasus ini, Anda dapat merujuk ke laporan asli dari The Hacker News serta laporan keamanan dari lembaga resmi Korea Selatan.