Proofpoint: Peretas Dukungan Negara Mengadopsi Zero-Day Cepat yang Sama

Apa yang Ditemukan Penelitian yang Dipimpin Proofpoint

Investigasi bersama dari Proofpoint, Google Threat Intelligence Group, Microsoft Threat Intelligence Center, dan Volexity telah mengungkap sesuatu yang jarang terdokumentasi dengan jelas oleh para peneliti: beberapa kelompok peretas yang berafiliasi dengan negara mulai menggunakan eksploit zero-day yang sama yang sebelumnya tidak diketahui dalam hitungan hari satu sama lain. Keempat organisasi tersebut, yang bersama-sama mencakup sebagian besar visibilitas intelijen ancaman global, menggabungkan temuan mereka untuk mengonfirmasi bahwa ini bukanlah kebetulan atau aliran aktivitas peniru yang lambat. Ini adalah adopsi yang hampir bersamaan di antara kelompok-kelompok terpisah yang terkait dengan negara-bangsa yang tidak saling berhubungan.

Penelitian yang direferensikan silang semacam ini penting karena masing-masing perusahaan ini biasanya melacak bagian yang berbeda dari lanskap ancaman: Proofpoint sangat berfokus pada intrusi berbasis email dan infrastruktur phishing, Google dan Microsoft memantau miliaran endpoint dan sinyal cloud, dan Volexity berspesialisasi dalam respons insiden untuk target bernilai tinggi. Ketika keempatnya secara independen menemukan eksploit yang sama muncul dalam kampanye yang tidak saling berhubungan pada waktu yang hampir bersamaan, itu adalah sinyal kuat bahwa ada sesuatu yang berubah dalam cara eksploit tersebut tersedia bagi banyak aktor sekaligus, bukan karena setiap kelompok menemukannya sendiri.

Mengapa Banyak Aktor Negara Mengadopsi Eksploit Begitu Cepat

Secara historis, zero-day yang baru ditemukan cenderung tetap berada di tangan satu kelompok, atau lingkaran kecil yang dikendalikan ketat, selama berminggu-minggu atau berbulan-bulan sebelum adopsi yang lebih luas terjadi. Penundaan itu biasanya terjadi karena zero-day mahal untuk dikembangkan, berbahaya jika terekspos melalui penggunaan berlebihan, dan berharga justru karena kelangkaannya. Melihat beberapa kelompok yang didukung negara mengambil eksploit yang sama dalam hitungan hari melanggar pola tersebut dan mengarah pada beberapa kemungkinan penjelasan: eksploit tersebut mungkin telah dijual atau dibagikan melalui jaringan broker yang melayani banyak pelanggan yang berafiliasi dengan pemerintah, bocor dari jalur pengembangan bersama, atau ditemukan kembali secara independen setelah serangan awal menjadi cukup ramai sehingga aktor canggih lainnya menyadarinya dan melakukan rekayasa balik.

Skenario mana pun patut dicatat dengan sendirinya, tetapi bersama-sama menggambarkan lingkungan ancaman di mana jendela antara "kerentanan itu ada" dan "banyak pemerintah mengeksploitasinya" semakin menyempit. Pemadatan itulah berita utamanya di sini, bukan sekadar keberadaan zero-day lainnya. Ini mencerminkan tren yang lebih luas yang telah didokumentasikan komunitas keamanan, termasuk dalam liputan tentang kerentanan Siemens ROX II dan gelombang CVE Linux yang semuanya memerlukan triase cepat di berbagai jenis infrastruktur yang sangat berbeda.

Siapa yang Berisiko dan Sistem Apa yang Menjadi Target

Para peneliti yang terlibat tidak merinci secara publik setiap organisasi yang terdampak, tetapi keterlibatan Volexity dan visibilitas skala perusahaan dari Google dan Microsoft menunjukkan bahwa eksploit tersebut mampu menjangkau target bernilai tinggi: jaringan pemerintah, perusahaan besar, dan organisasi yang bergantung pada tumpukan perangkat lunak yang digunakan secara luas. Kelompok yang berafiliasi dengan negara umumnya tidak membuang zero-day yang berharga untuk target bernilai rendah, sehingga penggunaannya di banyak aktor menyiratkan bahwa kerentanan yang mendasarinya terletak pada sesuatu yang digunakan secara luas dan sepadan dengan risiko paparannya.

Bagi pengguna sehari-hari, risiko langsungnya biasanya bersifat tidak langsung. Kebanyakan orang bukanlah target utama spionase negara-bangsa, tetapi perangkat lunak dan layanan yang mereka gunakan, penyedia email, platform cloud, dan alat perusahaan, sering kali menjadi target. Ketika zero-day seperti ini beredar, dampaknya pada akhirnya dapat menyentuh rantai pasokan, penyedia layanan, atau siapa pun yang datanya melewati sistem yang terdampak.

Langkah Praktis untuk Mengurangi Paparan Sekarang Juga

Menunggu informasi yang sempurna tentang zero-day sebelum bertindak adalah strategi yang merugikan. Respons praktisnya sama dengan yang telah diulang tim keamanan selama bertahun-tahun, dan tetap efektif justru karena tidak bergantung pada mengetahui setiap detail eksploit tertentu:

• Terapkan patch keamanan segera setelah vendor merilisnya, dan prioritaskan sistem yang menghadap internet atau menangani data sensitif.
• Pantau advis vendor dan rangkuman intelijen ancaman dengan cermat selama periode ketika eksploitasi zero-day aktif dikonfirmasi, serupa dengan perputaran cepat yang diperlukan untuk patch zero-day Chrome V8 baru-baru ini.
• Lapisi pertahanan alih-alih mengandalkan satu kontrol saja. VPN dapat membantu melindungi data saat transit dan mengurangi paparan pada jaringan yang tidak tepercaya, tetapi tidak akan menghentikan eksploit yang menargetkan aplikasi rentan secara langsung, sehingga harus dipasangkan dengan perlindungan endpoint, segmentasi jaringan, dan kontrol akses yang kuat.
• Tetap terinformasi melalui rangkuman keamanan rutin, karena pengungkapan eksploit dan jadwal patch bergerak cepat dan sering terkubur dalam siklus berita, seperti yang terlihat dalam liputan berkelanjutan seperti rangkuman mingguan tentang Certighost dan pengungkapan zero-day lainnya.

Apa Artinya Ini Bagi Anda

Sebagian besar pembaca tidak akan menjadi target langsung kelompok peretas yang didukung negara, tetapi perangkat lunak dan layanan yang menjadi sandaran semua orang tetap bisa terkena dampaknya. Pelajaran sebenarnya dari penelitian ini bukanlah keberadaan satu lagi kisah eksploit zero-day peretas yang didukung negara; melainkan betapa cepatnya eksploit itu menyebar di antara banyak aktor negara yang independen. Kecepatan itu berarti organisasi, dan secara tidak langsung penggunanya, memiliki waktu yang lebih sedikit dari sebelumnya untuk menambal sebelum kerentanan menjadi senjata yang digunakan secara luas. Tanggapi setiap notifikasi patch kritis dengan serius dan jangan menganggap penundaan beberapa hari tidak berbahaya.

Poin-Poin Penting

Penelitian yang dipimpin Proofpoint menjadi pengingat bahwa eksploit zero-day tidak lagi eksklusif untuk waktu yang lama setelah muncul. Bagi individu, itu berarti menjaga perangkat lunak tetap diperbarui tanpa penundaan, memperhatikan advis keamanan, dan menggunakan perlindungan berlapis seperti VPN bersama dengan, bukan sebagai pengganti, kebiasaan menambal yang baik. Bagi organisasi, ini menegaskan nilai berbagi intelijen ancaman antar vendor, karena kolaborasi semacam itulah antara Proofpoint, Google, Microsoft, dan Volexity yang mengungkap pola ini sebelum tidak terdeteksi lebih lama. Tetap mengikuti rangkuman keamanan dan rilis patch tetap menjadi cara paling sederhana dan efektif untuk menghindari menjadi korban sampingan dalam operasi siber negara-bangsa.