Kaspersky GReAT mengungkap kampanye malware berkelanjutan bernama GoSerpent yang menargetkan entitas pemerintahan dan diplomatik di Asia Tenggara sejak akhir 2025. Malware berbasis Go ini menampilkan toolset yang sangat terintegrasi — dari data collection hingga credential dumping dan exfiltration berlapis.
APA YANG TERJADI?
Divisi GReAT (Global Research and Analysis Team) Kaspersky berhasil mengungkap kampanye serangan berkelanjutan bernama GoSerpent yang telah beroperasi menargetkan entitas pemerintahan dan diplomatik di Asia Tenggara sejak akhir 2025. Kampanye ini menampilkan level kecanggihan teknis yang tinggi, dengan toolset yang sangat terintegrasi dirancang untuk akses jangka panjang dan pengumpulan intelijen.
Analisis Kaspersky mengungkap bahwa penyerang menggunakan beberapa tahap operasi yang terencana: tahap awal berfokus pada deployment backdoor dan pengumpulan data diam-diam selama berminggu-minggu, sementara tahap kedua menghadirkan RAT dan tool exfiltration untuk mengekstraksi semua data yang terkumpul. Ditemukan juga versi awal GoSerpent backdoor yang sudah digunakan sejak 2021, menunjukkan aktor ancaman ini memiliki operational continuity yang sangat panjang.
DETAIL TEKNIS
GoSerpent backdoor merupakan RAT berbasis Go dengan kemampuan proxy yang menjadi senjata utama kampanye ini. Backdoor menerima encrypted dan base64-encoded command-line arguments berisi alamat C2 server dan komunikasi password yang didekripsi menggunakan AES-CBC mode. Komunikasi dengan server C2 menggunakan enkripsi ChaCha20 dengan SHA256 hash dari communication password sebagai encryption key.
GoSerpent mendukung multiple C2 commands termasuk SOCKS5 proxy, port forwarding, remote shell, file upload/download, dan node forwarding — memungkinkan attacker mengatur chained proxy paths melalui multiple compromised hosts. Tool yang di-deploy meliputi ThumbcacheService (file collection yang menargetkan dokumen kantor), Mimikatz untuk credential dumping dari LSASS process, dan QuarksDumpLocalHash untuk ekstraksi password hashes dari SAM registry hive.
Tahap kedua kampanye menghadirkan Stowaway — RAT dan proxy tool dari open-source framework dengan customizations untuk stealth. Bersamaan dengan Stowaway, penyerang meng-deploy TmcLoader/TmcPayload — loader C++ yang terdaftar sebagai Windows service dengan encrypted payload yang di-load ke memory svchost untuk persistence. TmcPayload bertanggung jawab atas exfiltration final menggunakan network share credentials yang dikonfigurasi sebelumnya.
DAMPAK TERHADAP INDONESIA
Asia Tenggara menjadi target utama kampanye GoSerpent, dan Indonesia sebagai negara terbesar di kawasan dengan infrastruktur pemerintahan dan diplomatik yang luas berada dalam lingkaran ancaman langsung. Target kampanye ini — entitas pemerintahan dan diplomatik — secara langsung relevan dengan profile target Indonesia.
Kaspersky mengidentifikasi potensi keterkaitan GoSerpent dengan TetrisPhantom, aktor ancaman yang sebelumnya diketahui menargetkan infrastruktur ViPNet. BSSN dan unit cybercrime nasional harus mengintegrasikan IOC GoSerpent ke dalam threat intelligence feeds SOCSIRT nasional. Organisasi pemerintah Indonesia harus memastikan endpoint mereka dilindungi oleh EDR yang mampu mendeteksi Go-based RAT, Mimikatz execution, dan anomali network share activity.
REKOMENDASI MITIGASI
Implementasikan endpoint detection berbasis behavior yang mampu mendeteksi Go-based RAT execution, LSASS memory dumping, dan anomali Windows service creation. Monitor network traffic terhadap SOCKS5 proxy connections yang tidak dikenal dan encrypted WebSocket communications ke IP addresses asing.
Untuk tim SOC: integrasikan IOC GoSerpent ke dalam SIEM dan YARA rules — termasuk file hashes (EBFFD5A76AAA690BCDB922F82E0BACC5, D6E86BF8A90E9B632ADD5FA495F97FBC, CB6C4C70A3B171FA3404B8E1A3382116) dan C2 IP addresses (152.32.160.239, 8.220.194.108, 101.36.104.87, 144.48.6.46). Audit seluruh sistem untuk mendeteksi file thumbcache_605a.db sebagai indikator kompromi.
Analisa Retasan
GoSerpent mewakili evolusi signifikan dalam threat landscape Asia Tenggara — ini bukan lagi sekadar malware satu-staged yang bisa dideteksi oleh satu layer pertahanan. Arsitektur multi-tahap dengan toolset yang sangat terintegrasi menunjukkan aktor ancaman dengan kemampuan tinggi dan operational planning yang matang. Setiap komponen dirancang untuk bekerja sama secara seamless, dari pengumpulan data diam-diam hingga exfiltration final.
Yang paling mengkhawatirkan dari kampanye ini adalah kesabaran operasional penyerang — mereka menunggu berminggu-minggu sebelum men-deploy tool exfiltration, memberikan waktu bagi ThumbcacheService untuk mengumpulkan dokumen sensitif tanpa terdeteksi. Pendekatan seperti ini sangat efektif melawan SOC yang berfokus pada real-time detection tanpa historical behavior analysis. Tanpa threat hunting proaktif, tipe kompromi ini bisa berlangsung selama berbulan-bulan tanpa terdeteksi.
Bagi Indonesia, GoSerpent harus menjadi alarm bagi BSSN untuk memperkuat pertahanan institusi pemerintah terhadap APT-grade threats. Penggunaan Mimikatz dan QuarksDumpLocalHash menunjukkan bahwa teknik-teknik attack klasik masih sangat efektif ketika dikombinasikan dengan malware framework yang sophisticated. Implementasi credential guard, LSASS protection, dan network monitoring yang memadai bukan lagi luxury — ini adalah keharusan bagi setiap instansi pemerintah Indonesia.
Sumber tambahan: The Hacker News — New GoSerpent Malware Targets Southeast Asian Governments and Diplomats
