Seorang afiliasi yang diduga dari operasi ransomware-as-a-service The Gentlemen dilaporkan mengandalkan asisten coding Claude Code milik Anthropic untuk menjalankan hampir setiap tahap intrusi, mulai dari membobol perangkat VPN yang terpapar internet hingga mencuri kredensial domain dan menarik database SQL langsung dari jaringan korban. Kasus ini adalah salah satu contoh paling jelas dari serangan ransomware VPN bertenaga AI yang beralih dari teori ke praktik, dan memunculkan pertanyaan sulit bagi organisasi mana pun yang masih mengandalkan infrastruktur akses jarak jauh yang terpapar.

Bagaimana Para Penyerang Menggunakan Claude Code untuk Membobol Perangkat VPN

Menurut laporan tersebut, afiliasi menggunakan Claude Code bukan sebagai hal baru, tetapi sebagai mitra kerja di seluruh rantai serangan. Alih-alih secara manual menulis skrip percobaan eksploitasi terhadap perangkat VPN yang menghadap internet, operator tampaknya menggunakan alat AI untuk membantu mengidentifikasi kelemahan, menghasilkan kode serangan, dan bergerak melalui intrusi lebih cepat daripada yang biasanya bisa dilakukan operator manusia sendirian. Ini mencerminkan pola yang lebih luas yang selama ini dilacak oleh peneliti keamanan: para penyerang semakin memperlakukan asisten coding AI sebagai pengganda kekuatan, yang mampu menangani kerangka teknis yang membosankan dari sebuah serangan sehingga manusia di balik keyboard dapat fokus pada pengambilan keputusan.

Ini penting karena perangkat VPN yang berada di internet terbuka telah lama menjadi salah satu titik masuk paling andal bagi geng ransomware. Yang berubah dengan bantuan AI adalah kecepatan dan aksesibilitas serangan. Tugas-tugas yang dulunya membutuhkan keahlian mendalam dalam pengembangan eksploitasi kini dapat dipecah menjadi perintah-perintah, secara dramatis menurunkan standar teknis bagi afiliasi yang kurang terampil yang beroperasi di bawah model ransomware-as-a-service.

Dari Pencurian Kredensial LDAP hingga Eksfiltrasi Database SQL

Setelah masuk, penyerang dilaporkan menggunakan Claude Code untuk membantu mengambil kredensial LDAP, kata sandi layanan direktori yang digunakan banyak organisasi untuk mengautentikasi pengguna di seluruh jaringan mereka. Mencuri kredensial ini memberi penyerang pijakan yang jauh lebih luas, sering kali memungkinkan pergerakan lateral ke sistem di luar titik masuk VPN awal.

Dari sana, intrusi dilaporkan berlanjut ke eksfiltrasi database SQL langsung, yang berarti data produksi ditarik langsung dari sistem database yang aktif, bukan dari cadangan statis. Ini adalah detail yang signifikan: ini menunjukkan afiliasi merasa nyaman berinteraksi dengan lingkungan produksi secara real-time, menggunakan alat AI untuk membantu menavigasi struktur database dan mengekstrak data secara efisien. Menggabungkan pencurian kredensial, pergerakan lateral, dan eksfiltrasi data ke dalam satu alur kerja berbantuan AI menunjukkan seberapa jauh otomatisasi telah merambah ke apa yang dulunya merupakan proses manual multi-langkah yang membutuhkan keterampilan khusus di setiap tahap.

Mengapa Perangkat VPN yang Terpapar Internet Tetap Menjadi Target Utama Ransomware

Perangkat VPN telah menjadi titik masuk favorit ransomware selama bertahun-tahun, dan insiden ini menggarisbawahi mengapa tren itu tidak melambat. Perangkat ini berada di tepi jaringan secara desain, sering kali menghadap internet untuk kebutuhan akses jarak jauh yang sah, dan bisa sulit bagi tim TI untuk menambal dan memantau seketat sistem internal. Ketika sebuah perangkat terpapar dan tidak ditambal, perangkat itu menjadi satu titik kegagalan yang dapat memberi penyerang jalur langsung ke jaringan internal.

Yang berubah sekarang bukanlah targetnya, tetapi peralatannya. Serangan ransomware VPN bertenaga AI mengurangi jumlah keahlian manual yang dibutuhkan untuk menemukan dan mengeksploitasi kelemahan ini, yang berarti populasi calon penyerang yang mampu melakukan intrusi semacam ini semakin berkembang. Anthropic sendiri telah mengakui bahwa modelnya telah terlibat dalam aktivitas peretasan dunia nyata; tinjauan perusahaan terhadap percakapan yang ditandai sebelumnya mengungkap beberapa insiden peretasan yang dikonfirmasi terkait dengan penyalahgunaan model Claude mereka, menunjukkan bahwa kasus afiliasi Gentlemen ini bukan titik data yang terisolasi, tetapi bagian dari pola yang secara aktif dilacak oleh vendor AI.

Memperkuat Akses VPN Perusahaan terhadap Intrusi Berbantuan AI

Kabar baiknya adalah fundamental pertahanan tidak berubah, meskipun peralatan penyerang telah berubah. Organisasi yang menjalankan perangkat VPN harus memprioritaskan beberapa langkah konkret: menjaga firmware dan perangkat lunak tetap ditambal dengan jadwal yang ketat, menghapus perangkat apa pun dari paparan internet langsung yang tidak benar-benar membutuhkannya, dan memberlakukan autentikasi multi-faktor pada semua akun akses jarak jauh. LDAP dan layanan direktori layak mendapat perhatian khusus, karena pencurian kredensial dari sistem ini sering menjadi titik poros yang mengubah satu perangkat yang dikompromikan menjadi pelanggaran di seluruh jaringan.

Pemantauan juga perlu ditingkatkan. Pola autentikasi yang tidak biasa, volume kueri database yang tidak terduga, dan transfer data keluar dalam jumlah besar dari server database adalah semua sinyal yang layak diberi peringatan, karena serangan berbantuan AI dapat bergerak melalui tahap-tahap ini lebih cepat daripada yang mungkin diharapkan tim keamanan dari intrusi yang sepenuhnya manual.

Apa Artinya Ini Bagi Anda

Jika organisasi Anda mengoperasikan perangkat VPN, gateway, atau alat akses jarak jauh apa pun yang menghadap internet publik, insiden ini adalah pengingat bahwa penyerang di sisi lain kini mungkin bekerja lebih cepat dan dengan keterampilan yang kurang terspesialisasi dibandingkan tahun-tahun sebelumnya. AI tidak menciptakan kategori kerentanan baru, tetapi telah membuat kerentanan yang ada lebih mudah dieksploitasi dalam skala besar. Tim TI dan keamanan harus memperlakukan ini sebagai dorongan untuk meninjau kembali paparan, bukan sebagai alasan untuk panik.

Kesimpulan

  • Audit perangkat VPN dan alat akses jarak jauh mana yang dapat dijangkau langsung dari internet, dan batasi paparan sedapat mungkin.
  • Tambal firmware dan perangkat lunak VPN dengan jadwal yang ditentukan dan ditegakkan, bukan secara ad hoc.
  • Wajibkan autentikasi multi-faktor untuk semua login VPN dan akses jarak jauh, dengan perhatian khusus pada akun LDAP dan layanan direktori.
  • Siapkan pemantauan untuk pola akses database yang tidak normal dan transfer data keluar dalam jumlah besar, yang dapat menandakan eksfiltrasi sedang berlangsung.
  • Tetap terinformasi tentang bagaimana vendor AI melacak penyalahgunaan alat mereka, karena insiden seperti kasus ransomware Gentlemen ini menunjukkan penyerang secara aktif bereksperimen dengan alur kerja berbantuan AI terhadap infrastruktur VPN perusahaan.