Sebuah insiden breach terhadap DigiCert pada April 2026 mengungkap pencurian sertifikat code-signing Extended Validation (EV) oleh aktor ancaman APT-Q-27, yang juga dikenal sebagai GoldenEyeDog. Pelaku menggunakan sertifikat curian untuk menandatangani malware Zhong Stealer dan mengkompromikan rantai kepercayaan yang menjadi fondasi keamanan software signing global. Insiden ini didokumentasikan oleh tim Expel dan menyoroti kerentanan kritis dalam proses verifikasi Certificate Authority (CA).
APA YANG TERJADI?
Pada April 2026, DigiCert mengalami breach yang dikaitkan dengan CylindricalCanine, sebuah subgroup dari GoldenEyeDog (APT-Q-27). Aktor ancaman asal Tiongkok ini aktif sejak 2015 dan secara historis menargetkan industri perjudian dan gaming. Pelaku menyamar sebagai pelanggan yang sah dan mengirim file `.scr` (screen saver executable) melalui saluran chat dukungan DigiCert. Dua workstation milik tim dukungan berhasil dikompromikan.
Melalui akses ke workstation dukungan, pelaku mencuri sertifikat code-signing EV yang kemudian digunakan untuk menandatangani malware Zhong Stealer. Zhong Stealer diketahui merupakan modifikasi dari Gh0st RAT yang dikenal sebagai “Golden Gh0st RAT” atau “Farfli.” DigiCert telah mencabut 60 sertifikat terkait, di mana 27 di antaranya secara langsung dihubungkan dengan aktor ancaman. Insiden ini didokumentasikan oleh Aaron Walton dari tim Expel.
DETAIL TEKNIS
GoldenEyeDog, atau APT-Q-27, telah beroperasi sejak 2015 dengan fokus pada industri perjudian dan gaming di Asia. Grup ini menggunakan ekosistem malware berbasis Gh0st RAT yang telah dimodifikasi secara signifikan. Farfli, atau Golden Gh0st RAT, merupakan variant Gh0st RAT yang telah di-patch untuk menghilangkan fitur asli yang mudah dideteksi dan menambahkan teknik evasion baru termasuk DLL side-loading dan legitimate process injection.
Zhong Stealer, yang ditandatangani menggunakan sertifikat curian DigiCert, mampu mencuri credential, session token, dan data sensitif dari sistem korban. Penggunaan sertifikat EV code-signing memungkinkan Zhong Stealer melewati Windows SmartScreen dan berbagai solution endpoint protection yang memeriksa digital signature. Dalam rantai serangan, malware dikirimkan kepada target melaluiEngineering, kemudian menggunakan DLL side-loading untuk mengeksekusi payload utama sementara menampilkan aplikasi legitimate sebagai kamuflase.
Investigasi oleh Expel menemukan bahwa pelaku memanfaatkan celah dalam proses verifikasi DigiCert. Sebagai Certificate Authority yang berperan sebagai trusted root, DigiCert memiliki tanggung jawab untuk memverifikasi identitas pelanggan sebelum menerbitkan sertifikat. Kegagalan dalam proses ini, terutama pada kanal chat dukungan yang kurang terkontrol, menjadi titik masuk bagi aktor ancaman. Cross-reference dengan aktivitas grup Silver Fox dan penggunaan RONINGLOADER menunjukkan pola serupa dalam target dan teknik yang digunakan oleh ekosistem APT dari Tiongkok.
DAMPAK TERHADAP INDONESIA
Dampak dari pencurian sertifikat code-signing terhadap Indonesia sangat luas. Sementara DigiCert mencabut 60 sertifikat, ribuan salinan malware yang telah ditandatangani dengan sertifikat curian masih beredar di internet. Software yang ditandatangani dengan sertifikat EV yang sah sebelum pencabutan akan terus melewati verifikasi Windows SmartScreen, sehingga pengguna Indonesia yang tidak memperbarui revocation list akan tetap rentan.
Industri perjudian online ilegal yang masih beroperasi di Indonesia menjadi target utama GoldenEyeDog. Namun, penyebaran malware melalui supply chain yang tercemar juga mengancam sektor lain termasuk perbankan, e-commerce, dan pemerintahan. Organisasi Indonesia yang mengandalkan verifikasi digital signature sebagai bagian dari zero-trust architecture harus menyadari bahwa validitas signature tidak lagi menjadi jaminan keamanan absolut. BSSN perlu mengeluarkan advisory tentang IOC (Indicators of Compromise) terkait GoldenEyeDog dan Zhong Stealer.
REKOMENDASI MITIGASI
Perbarui certificate revocation lists (CRL) dan pastikan sistem memeriksa Online Certificate Status Protocol (OCSP) secara aktif. Implementasikan application whitelisting untuk membatasi executable yang diizinkan berjalan di endpoint. Audit seluruh software yang ditandatangani dengan sertifikat DigiCert yang dicabut dan identifikasi apakah ada instalasi aktif. Implementasikan monitoring terhadap indikator kompromi GoldenEyeDog termasuk IOC Zhong Stealer dan Farfli/Golden Gh0st RAT. Untuk organisasi yang mengembangkan software, pertimbangkan untuk diversifikasi CA dan implementasikan extended validation terhadap supply chain signing keys.
Analisa Retasan
Breach DigiCert oleh GoldenEyeDog mengungkap kerentanan mendasar dalam model keamanan berbasis certificate trust. Certificate Authority berfungsi sebagai trust anchor dalam ekosistem PKI, dan ketika trust anchor itu sendiri dikompromikan, seluruh rantai keamanan berbasis digital signature menjadi rapuh. Modus operasi pelaku — mengirim file .scr melalui chat dukungan — menunjukkan bahwa human factor remains the weakest link bahkan di Certificate Authority yang seharusnya memiliki prosedur keamanan paling ketat.
Kejadian ini mengingatkan pada breach DigiNotar pada 2011, namun dampaknya lebih luas karena ekosistem keamanan modern jauh lebih bergantung pada code-signing.
Penggunaan Zhong Stealer berbasis Gh0st RAT/Farfli dengan sertifikat EV code-signing menciptakan malware yang sangat sulit dideteksi oleh security solution berbasis signature. Ketika binary ditandatangani oleh CA trusted, banyak endpoint protection solution yang memberikan treatment berbeda — menurunkan skor reputasi dan bahkan bypass beberapa kontrol. DLL side-loading sebagai teknik execution menjadi semakin efektif ketika binary loader yang sah ditandatangani dengan sertifikat EV curian.Pola serupa juga digunakan oleh Silver Fox group yang secara aktif menargetkan organisasi di Asia Tenggara menggunakan RONINGLOADER.
Untuk pertahanan di Indonesia, organisasi harus mengadopsi pendekatan defense-in-depth yang tidak hanya mengandalkan digital signature sebagai satu-satunya kontrol. Implementasikan application whitelisting berbasis hash, monitoring proses runtime menggunakan EDR yang mampu mendeteksi anomali behavioral, dan verifikasi certificate chain secara menyeluruh termasuk OCSP stapling. BSSN dan tim CSIRT nasional sebaiknya mempublikasikan IOC lengkap terkait Golden EyeDog dan Zhong Stealer, termasuk hash binary, C2 addresses, dan pola network traffic untuk membantu SOC di seluruh Indonesia dalam mendeteksi kompromi aktif.
Sumber: The Hacker News — GoldenEyeDog Subgroup Linked to DigiCert Breach
Tags: GoldenEyeDog, DigiCert breach, code-signing certificate theft, Gh0st RAT, Zhong Stealer, DLL side-loading, APT-Q27, Dragon Breath
