Grup APT berbasis Rusia yang dikenal sebagai UAC-0145, yang diyakini berafiliasi dengan unit militer Sandworm (GRU), terus melancarkan kampanye serangan siber terhadap Ukraina menggunakan teknik ClickFix berbasis CAPTCHA palsu. Teknik ini mengeksploitasi kepercayaan pengguna terhadap widget verifikasi CAPTCHA untuk menjalankan perintah berbahaya secara tanpa disadari.
APA YANG TERJADI?
Serangan dimulai ketika korban mengunjungi situs web yang telah dikompromikan oleh pelaku. Situs tersebut menampilkan halaman CAPTCHA palsu yang meminta pengguna untuk menyalin dan menempelkan sebuah perintah ke dalam kotak Run (Win+R). Setelah pengguna menempelkan dan menjalankan perintah tersebut, PowerShell akan mengunduh dan mengeksekusi file VBS bernama GHETTOVIBE. File VBS ini kemudian bertindak sebagai stager yang mengunduh SCOUTCURL, sebuah script PowerShell yang bertugas melakukan reconnaissance terhadap sistem korban. Selain menargetkan perangkat Windows, kampanye ini juga diperluas ke perangkat Android melalui aplikasi pesan, memperluas cakupan dampak serangan.
DETAIL TEKNIS
UAC-0145 merupakan singkatan dari UNC (Uncategorized) group yang dipantau oleh layanan keamanan siber Ukraina. Grup ini telah beroperasi aktif sejak setidaknya 2024 dan memiliki catatan panjang dalam menargetkan infrastruktur pemerintah serta militer Ukraina. Chain serangan ClickFix ini mengandalkan rekayasa sosial tingkat tinggi: pengguna diminta menyalin perintah yang terlihat seperti kode verifikasi CAPTCHA, padahal sebenarnya merupakan script PowerShell berbahaya. SCOUTCURL, stager utama kampanye ini, berfungsi sebagai pintu masuk untuk mengumpulkan informasi sistem, credential, dan metadata perangkat sebelum memuat muatan akhir yang lebih canggih.
DAMPAK TERHADAP INDONESIA
Teknik ClickFix ini bukan eksklusif untuk target Ukraina. Pelaku serangan serupa telah terlihat menargetkan organisasi di berbagai negara Asia Tenggara, termasuk Indonesia. Dengan penetrasi internet yang mencapai 79 persen dan jumlah pengguna aktif media sosial yang tinggi, Indonesia merupakan target yang menarik bagi pelaku APT. Banyak pengguna Indonesia yang masih belum familiar dengan konsep ClickFix, sehingga rentan terhadap rekayasa sosial jenis ini. BSSN dan Kominfo perlu meningkatkan kampanye edukasi kesadaran siber, khususnya terhadap teknik social engineering modern yang menggunakan CAPTCHA palsu sebagai kedok.
REKOMENDASI MITIGASI
Edukasi pengguna bahwa CAPTCHA yang meminta menyalin perintah ke kotak Run tidak pernah legitimate. Aktifkan execution policy PowerShell yang ketat pada perangkat organisasi. Implementasikan EDR yang mampu mendeteksi aktivitas PowerShell mencurigakan. Pantau aktivitas PowerShell yang melibatkan unduhan dari URL tidak dikenal. Blokir eksekusi script VBS dari direktori sementara. Terapkan application whitelisting untuk membatasi eksekusi script yang tidak sah.
Analisa Retasan
Teknik ClickFix merupakan evolusi dari kampanye fake CAPTCHA yang pertama kali dipopulerkan oleh grup TA569 (Danabot) pada akhir 2024. Kini, teknik yang sama telah diadopsi oleh pelaku state-sponsored seperti UAC-0145/Sandworm, menunjukkan bahwa teknik rekayasa sosial ini terbukti efektif dan sulit dideteksi oleh mekanisme pertahanan teknis konvensional.
Yang membuat kampanye ini berbahaya adalah kesederhanaannya. Tidak ada exploit zero-day, tidak ada vulnerability patching, hanya manusia yang menempelkan perintah yang tidak dipahaminya. Ini membuktikan bahwa humans remain the weakest link dalam rantai keamanan siber, terlepas dari seberapa canggih teknologi pertahanan yang diterapkan.
Distribusi payload Android melalui aplikasi pesan juga menunjukkan bahwa UAC-0145 telah mempelajari profil target mereka: pengguna yang lebih banyak mengakses internet melalui perangkat mobile daripada desktop. Untuk organisasi di Indonesia yang menerapkan BYOD (Bring Your Own Device), ini menjadi peringatan serius untuk memperkuat keamanan mobile device management.
Sumber: The Hacker News
Tags: UAC-0145, Sandworm, ClickFix, CAPTCHA, PowerShell, Ukraine, Cyberwarfare, Russia, APT
