Para peneliti Kaspersky GReAT mengungkap kampanye serangan canggih yang menyalahgunakan mekanisme pembaruan produk jaringan pribadi ViPNet untuk menargetkan organisasi pemerintah Rusia. Kampanye yang diberi nama HelloNet ini telah aktif sejak setidaknya Mei 2026 dan menggunakan modular malware yang mampu melakukan espionase, eksekusi command, dan pembersihan jejak.
APA YANG TERJADI?
ViPNet adalah rangkaian produk keamanan informasi yang dikembangkan oleh InfoTeCS, menyediakan VPN, endpoint protection, firewall, dan manajemen sertifikat. Produk ini banyak digunakan di Rusia dan tersertifikasi untuk penggunaan di lingkungan pemerintah. Para pelaku serangan meletakkan file DLL berbahaya bernama wtsapi32.dll (disebut HelloInjector) di dalam direktori sistem pembaruan ViPNet. File ini dimuat secara otomatis oleh executable legitim itcsrvup64.exe melalui teknik DLL Sideloading saat sistem dinyalakan. Setelah dimuat, HelloInjector menyuntikkan kode ke dalam proses svchost.exe untuk mendapatkan hak akses lebih tinggi, kemudian memuat dan mengeksekusi HelloProxy di dalam memori.
DETAIL TEKNIS
HelloNet menggunakan modular architecture yang terdiri dari beberapa komponen. HelloInjector bertindak sebagai loader pertama yang menyuntikkan payload ke svchost.exe menggunakan fungsi NtWriteVirtualMemory dan NtCreateThreadEx. HelloProxy berfungsi sebagai proxy tersembunyi dan loader untuk modul berikutnya, dengan cara menangkap fungsi NtDeviceIoControlFile, closesocket, dan shutdown menggunakan library Detours dari Microsoft. HelloProxy mendengarkan port 5003 dan 5060 untuk menerima perintah dari C2 server. Dua modul tambahan ditemukan: HelloExecutor untuk eksekusi command dan HelloCleaner untuk menghapus log ViPNet guna menyembunyikan aktivitas jahat. Selain itu, ditemukan HelloBackdoor yang ditulis dalam bahasa Rust, mendukung upload/download file dan eksekusi command. Kaspersky mengaitkan kampanye ini dengan APT berbahasa Cina dengan tingkat kepercayaan rendah, dengan kemungkinan false flag.
DAMPAK TERHADAP INDONESIA
Meskipun ViPNet tidak digunakan secara luas di Indonesia, teknik DLL Sideloading melalui mekanisme pembaruan software merupakan pola serangan yang sangat relevan. Banyak vendor keamanan dan perangkat lunak enterprise di Indonesia, termasuk yang dikembangkan lokal, menggunakan mekanisme pembaruan otomatis yang rentan terhadap serangan serupa. Jika attacker mampu mengkompromikan supply chain pembaruan, seluruh instalasi produk tersebut menjadi target potensial. Kasus ini mengingatkan pada serangan SolarWinds tahun 2020 yang menggunakan teknik supply chain compromise serupa. Organisasi Indonesia harus memastikan bahwa mekanisme pembaruan software yang mereka gunakan memiliki verifikasi integritas kripsografi yang kuat.
REKOMENDASI MITIGASI
Untuk organisasi yang menggunakan ViPNet atau produk serupa, pantau lalu lintas pada port 5003, 5060, dan 443 untuk mendeteksi komunikasi C2 HelloProxy dan HelloBackdoor. Periksa direktori instalasi ViPNet untuk file DLL yang tidak dikenal, khususnya wtsapi32.dll. Implementasikan monitoring terhadap aktivitas proses svchost.exe yang mencurigakan. Pastikan mekanisme pembaruan software menggunakan verifikasi tanda tangan digital dan integritas hash. Terapkan principle of least privilege untuk layanan pembaruan agar dampak kompromisasi dapat diminimalkan.
Analisa Retasan
Kampanye HelloNet menunjukkan bahwa supply chain attack bukan sekadar teori, melainkan ancaman nyata yang terus dieksploitasi oleh pelaku APT. Dengan menyalahgunakan mekanisme pembaruan yang dianggap trusted oleh sistem, pelaku mendapatkan foothold yang sangat sulit dideteksi oleh mekanisme pertahanan konvensional.
Penggunaan Rust untuk HelloBackdoor menarik perhatian karena Rust semakin populer di kalangan pelaku serangan karena kemampuannya menghasilkan binary yang ringan, cepat, dan sulit dianalisis oleh tools decompiler tradisional. Tren penggunaan Rust dalam malware development ini perlu diwaspadai oleh komunitas keamanan Indonesia.
Attribution dengan tingkat kepercayaan rendah dan kemungkinan false flag menambah kompleksitas dalam penilaian ancaman. Bagi tim SOC Indonesia, lesson yang dapat diambil adalah: fokus pada deteksi aktivitas berbahaya berdasarkan TTP (Tactics, Techniques, and Procedures) dan IOC, bukan sekadar berdasarkan attribution yang bisa berubah setiap saat.
Sumber: BleepingComputer
Tags: ViPNet, HelloNet, DLL Sideloading, APT, Kaspersky, Supply Chain, Rust, Backdoor, Proxy, Russia
