Tim Symantec Threat Hunter menemukan keberadaan Daxin, sebuah rootkit Windows kernel-mode yang dikaitkan dengan China, pada host yang dikompromisasi di anak perusahaan Taiwan dari sebuah produsen multinasional. Yang lebih mengkhawatirkan, mesin yang sama juga membawa backdoor yang sebelumnya tidak dilaporkan bernama “Stupig”, yang menyamar sempurna sebagai komponen keyboard layout Windows dan dapat memberikan hak akses SYSTEM kepada penyerang dari layar login.
APA YANG TERJADI?
Symantec Threat Hunter Team mengungkapkan penemuan mereka terhadap dua malware yang sangat canggih pada satu mesin yang sama di jaringan anak perusahaan Taiwan dari sebuah produsen multinasional. Daxin, yang pertama kali didokumentasikan pada Maret 2022, telah diketahui beroperasi sejak tahun 2013. Temuan ini memperkuat dugaan bahwa Daxin telah bersembunyi di jaringan target selama lebih dari satu dekade tanpa terdeteksi.
Yang benar-benar baru adalah penemuan backdoor “Stupig” pada mesin yang sama. Kedua artefek malware ini memiliki timestamp kompilasi dari awal tahun 2013, dan telemetry keamanan mulai mendeteksi aktivitasnya sejak 12 Mei 2026. Interval waktu antara kompilasi dan deteksi ini mengindikasikan bahwa intrusi mungkin telah tidak terdeteksi selama 13 tahun penuh, menjadikannya salah satu kasus dwell time terpanjang yang pernah terdokumentasi.
DETAIL TEKNIS
Daxin beroperasi sebagai rootkit kernel-mode Windows yang memiliki kemampuan unik dalam hal komunikasi Command and Control (C2). Berbeda dengan malware pada umumnya yang menghubungi server C2 secara aktif, Daxin memantau traffic TCP yang masuk dan membajak koneksi yang sudah ada antara komponen sistem yang sah untuk melakukan komunikasi C2 yang terenkripsi. Pendekatan ini membuat Daxin hampir tidak terdeteksi oleh sistem monitoring jaringan konvensional.
Selain itu, Daxin memiliki kemampuan multi-hop yang memungkinkannya menjangkau mesin yang tidak memiliki koneksi internet langsung melalui rantai mesin yang telah dikompromisasi. Sementara itu, Stupig beroperasi dengan menyamar sebagai kbdus1.dll, yang meniru file sistem Windows yang sah kbdus.dll (layout keyboard untuk bahasa Inggris Amerika). Stupig mendaftarkan dirinya sebagai keyboard layout provider, sehingga dimuat oleh win32k.sys ke dalam winlogon.exe saat startup sistem.
Yang membuat Stupig sangat berbahaya adalah cara kerjanya yang hampir tidak meninggalkan jejak. Stupig mengembalikan pointer KBDTABLES yang valid, sehingga keyboard tetap berfungsi normal dan tidak ada anomali yang terlihat oleh user atau administrator. Backdoor ini memantau layar login untuk username yang dimulai dengan string “stupig”, dan jika terdeteksi, akan mengeksekusi perintah dengan hak akses SYSTEM. Jika prefix “stupig” dimasukkan tanpa karakter tambahan setelahnya, backdoor akan membuka command prompt dengan hak SYSTEM langsung dari layar login tanpa mencatat event login apapun, sehingga tidak ada jejak audit yang tersisa.
Kemungkinan titik masuk awal untuk kedua malware ini adalah portal SSO Digiwin yang sudah usang dan menjalankan JDK versi 1.5 atau 1.6, yang merupakan versi yang sudah tidak didukung sejak tahun 2009 hingga 2011.
DAMPAK TERHADAP INDONESIA
Indonesia memiliki sektor manufaktur yang sangat besar dan terintegrasi secara global, dengan banyak perusahaan yang memiliki hubungan bisnis dan rantai pasok dengan entitas di Taiwan dan China. Kerentanan terhadap serangan APT berupa rootkit berjangka panjang seperti Daxin merupakan ancaman nyata bagi infrastruktur manufaktur Indonesia, terutama mengingat banyak perusahaan di Indonesia yang masih menjalankan sistem operasi dan aplikasi yang sudah usang.
BSSN telah memasukkan ancaman APT yang dikaitkan dengan negara tertentu dalam daftar prioritas pemantauan nasional. Temuan Daxin dengan dwell time 13 tahun ini menunjukkan bahwa kemampuan deteksi saat ini masih memiliki keterbatasan yang signifikan terhadap malware yang dirancang untuk bersembunyi dalam jangka waktu sangat lama. SKKNI di bidang keamanan siber perlu memperbarui pedoman deteksi advanced threats untuk memasukkan indikator kompromi (IoC) terkait Daxin dan Stupig.
Dari perspektif pertahanan nasional, kemampuan Daxin untuk melakukan komunikasi C2 melalui pembajakan koneksi TCP yang sah berarti bahwa sistem monitoring jaringan tradisional yang hanya memantau koneksi keluar (outbound) ke IP asing tidak akan mendeteksi aktivitasnya. Hal ini menekankan perlunya pendekatan keamanan yang lebih canggih, termasuk analisis traffic internal dan monitoring terhadap anomali kernel-level.
REKOMENDASI MITIGASI
Periksa seluruh sistem untuk keberadaan file kbdus1.dll yang mencurigakan pada direktori system. Bandingkan hash file dengan kbdus.dll asli dan verifikasi digital signature. Monitor proses winlogon.exe untuk modul yang dimuat secara tidak wajar.
Implementasikan monitoring terhadap traffic TCP internal yang mencurigakan, khususnya pola komunikasi yang tidak biasa antara mesin-mesin di dalam jaringan yang seharusnya tidak saling berkomunikasi secara langsung. Gunakan endpoint detection and response (EDR) dengan kemampuan kernel-level monitoring untuk mendeteksi modifikasi terhadap komponen keyboard layout provider.
Audit dan perbarui seluruh aplikasi warisan (legacy) yang menjalankan versi runtime yang sudah tidak didukung, seperti JDK 1.5 atau 1.6. Terapkan segmentasi jaringan yang ketat pada infrastruktur manufaktur dan pastikan bahwa portal SSO dan sistem autentikasi berada pada zona jaringan yang terpisah dengan kontrol akses yang ketat.
Analisa Retasan
Daxin dan Stupig merupakan representasi tertinggi dari dedikasi attacker terhadap persistensi jangka panjang dan stealth operation. Dwell time 13 tahun bukan sekadar angka yang mengejutkan, tetapi merupakan bukti konkret bahwa metode deteksi berbasis signature dan network monitoring konvensional telah mencapai batas kemampuannya. Dengan teknik komunikasi C2 yang membajak koneksi TCP sah dan backdoor yang menyamar sebagai komponen keyboard layout yang berfungsi normal, kedua malware ini dirancang khusus untuk menghindari seluruh lapisan pertahanan yang ada saat ini. Ini bukan sekadar malware, ini adalah engineering masterpiece untuk persistent access.
Dari perspektif threat landscape Indonesia, temuan ini mengkonfirmasi kekhawatiran yang sudah lama berkembang: banyak jaringan manufaktur dan industri di Indonesia mungkin telah dikompromisasi selama bertahun-tahun tanpa disadari. Portal SSO dengan JDK versi usang seperti yang menjadi kemungkinan titik masuk Daxin adalah pemandangan yang sangat umum di lingkungan enterprise Indonesia, di mana pembaruan aplikasi warisan sering kali ditunda karena alasan kompatibilitas dan biaya. Setiap organisasi yang menjalankan aplikasi berbasis Java versi lama harus menganggap ini sebagai prioritas remediasi segera.
Kemampuan Stupig untuk memberikan hak SYSTEM dari layar login tanpa meninggalkan jejak audit menunjukkan evolusi yang mengkhawatirkan dalam teknik evasion. Bagi tim keamanan Indonesia, ini menekankan pentingnya memonitor tidak hanya log keamanan tingkat aplikasi, tetapi juga integritas komponen kernel dan driver pada endpoint. Penggunaan kernel-level EDR seperti Sysmon dengan konfigurasi yang memantau loading modul ke dalam proses kritis seperti winlogon.exe merupakan langkah pertahanan yang paling realistis saat ini. Jangan pernah menganggap komponen keyboard layout atau input method sebagai komponen yang aman dan tidak perlu diverifikasi.
Sumber: SecurityAffairs – Daxin: 13-Year-Old China-Linked Malware
Daxin, Stupig, Rootkit, APT, China, Kernel-Mode, Backdoor, C2, Dwell Time, Symantec, Taiwan, Manufacturing, Legacy Systems, DLL Hijacking
