Expel mengungkapkan bahwa insiden keamanan DigiCert April 2026 dilakukan oleh threat activity cluster bernama CylindricalCanine — sub-group dari GoldenEyeDog (APT-Q27, Dragon Breath, Miuuti Group), kelompok kejahatan siber China yang dikenal menargetkan sektor gambling dan gaming melalui website palsu yang menyebarkan malware.
APA YANG TERJADI?
Pada April 2026, GoldenEyeDog mengakses perangkat support staff DigiCert — provider code-signing certificate — dan memanfaatkan akses tersebut untuk mencuri sertifikat yang diperuntukkan bagi pelanggan DigiCert. Certificate authority mengungkapkan bahwa certificate dikeluarkan secara fraudulen melalui internal support portal setelah unknown threat actor mendapatkan akses ke dua workstation support analyst.
Serangan dimulai pada 2 April 2026 ketika attacker menghubungi tim support DigiCert melalui customer chat channel dan mengirimkan ZIP file yang menyamar sebagai screenshot customer. File tersebut berisi .scr executable dengan malicious payload. Attacker kemudian menggunakan fungsi terbatas dalam customer-support portal untuk mengakses initialization codes dari orders EV Code Signing certificate yang sudah approved.
DETAIL TEKNIS
Tool utama CylindricalCanine adalah Golden Gh0st RAT — modified version dari Gh0st RAT (aka Farfli), remote access trojan yang banyak digunakan oleh kelompok hacker China. Malware modular ini dikirim melalui Golden Gh0st Loader dan RONINGLOADER — multi-stage loader yang mendistribusikan Gh0st RAT melalui NSIS installers yang menyamar sebagai Google Chrome dan Microsoft Teams.
Golden Gh0st RAT memiliki kemampuan persistence, data theft, SOCKS proxy tunnel, suppression output display, keystroke logging, screenshot capture, process enumeration, shell command execution, dan payload injection. Aplikasi target untuk pengumpulan data meliputi Skype, Google Chrome, Mozilla Firefox, 360 Secure Browser, dan Tencent QQ Browser.
DigiCert merilis 60 sertifikat yang dikeluarkan secara fraudulen dari empat CA berbeda: DigiCert Trusted G4 Code Signing RSA4096 SHA256/SHA384 2021 CA1, GoGetSSL G4 CS RSA4096 SHA256 2022 CA-1, dan Verokey High Assurance Secure Code EV. Dari jumlah tersebut, 27 sertifikat secara eksplisit terkait dengan attacker dan digunakan untuk menandatangani malware artifact Zhong Stealer.
Dampaknya sangat luas: sertifikat code-signing yang dicuri memungkinkan attacker menandatangani malware dengan sertifikat trusted yang dikeluarkan CA terpercaya, sehingga melewati endpoint security controls dan memperoleh kepercayaan dari sistem operasi target.
DAMPAK TERHADAP INDONESIA
Golden EyeDog dikenal menargetkan organisasi finance di kawasan Asia-Pasifik. Indonesia sebagai salah satu pasar keuangan terbesar di kawasan ini berpotensi menjadi target serupa. Serangan melalui customer support chat — yang mengeksploitasi kepercayaan — sangat relevan dengan banyak organisasi Indonesia yang memiliki customer support portal.
Revocation sertifikat code-signing oleh DigiCert juga berdampak pada organisasi Indonesia yang menggunakan layanan DigiCert untuk code signing produk mereka. Organisasi yang terdampak harus segera memverifikasi ulang chain of trust software mereka dan memastikan tidak ada malware yang ditandatangani dengan sertifikat yang sudah direvoke.
REKOMENDASI MITIGASI
1. Audit semua sertifikat code-signing yang digunakan oleh organisasi. 2. Implementasikan zero-trust pada customer support channels — verifikasi identitas sebelum mengakses fitur support. 3. Monitor penggunaan Gh0st RAT indicators dan Golden Gh0st Loader signatures. 4. Periksa apakah software yang ditandatangani dengan sertifikat DigiCert masih valid dan tidak terpengaruh revocation. 5. Terapkan endpoint detection yang mampu mengenali signed malware.
Analisa Retasan
Breach DigiCert ini mengekspos kerentanan fundamental dalam model keamanan certificate authority: initialization codes yang tersimpan dalam support portal ternyata cukup untuk mengambil alih EV Code Signing certificate. Ini adalah failure mode yang belum pernah diperhitungkan dalam threat model DigiCert — dan menjadi pengingat bahwa supply chain keamanan hanya sekuat titik terlemahnya.
Penggunaan customer support chat sebagai vector serangan menunjukkan evolusi social engineering yang mengkhawatirkan. CylindricalCanine tidak menargetkan teknologi canggih — mereka menargetkan manusia yang bekerja di support desk, orang-orang yang terlatih untuk membantu, bukan untuk curiga. Ini menggarisbawahi pentingnya security awareness training yang mencakup social engineering melalui support channels.
Bagi ekosistem keamanan Indonesia, GoldenEyeDog menjadi reminder bahwa ancaman APT China tidak hanya ditujukan pada infrastruktur pemerintah atau pertahanan — sektor perjudian, gaming, dan keuangan di Asia-Pasifik juga menjadi target utama. Organisasi Indonesia di sektor-sektor ini harus meningkatkan postur keamanan mereka, terutama terkait customer support portal dan supply chain code signing.
Sumber: The Hacker News — GoldenEyeDog Subgroup Linked to DigiCert Breach
