Terungkap: Peretas Berbahasa Rusia Jual Akses ke Ransomware dan Jalani Misi Mata-mata untuk Negara dari Server yang Sama

Server Terbuka: Buku Panduan Operator Terbuka untuk Umum

CloudSEK menemukan sebuah direktori terbuka di server milik aktor ancaman yang berafiliasi dengan Rusia. Direktori ini berfungsi sebagai catatan tingkat perintah dari aktivitas operator tersebut . Isi direktori itu meliputi:

• Alat eksploitasi yang diurutkan berdasarkan CVE
• Daftar target yang dipisah berdasarkan negara
• Hasil pindaian yang sudah dikelompokkan ke dalam set rentan, tidak rentan, dan tidak terjangkau
• Mekanisme checkpoint yang melacak kemajuan di ratusan ribu target

Pada dasarnya, server itu adalah buku panduan dan catatan ketikan operator, yang terlihat oleh siapa pun yang tahu di mana mencarinya.

Kerentanan yang Dieksploitasi dan Sektor yang Ditargetkan

Broker ini menyimpan alat eksploitasi untuk setidaknya 12 CVE berbeda yang menargetkan perangkat edge dan aplikasi web yang banyak digunakan . Vendor yang terdampak termasuk Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin, dan Hikvision . Meskipun sebagian besar kode eksploitasi adalah proof-of-concept publik, eksploitasi utama untuk Fortinet dan Citrix dimodifikasi menjadi kerangka kerja modular dengan pembungkus berbahasa Rusia yang mengotomatiskan injeksi kunci SSH, pembuatan pengguna VPN, penyediaan backdoor admin, dan pemindaian massal . Operator juga menyimpan salinan lokal repositori template nuclei ditambah lebih dari 100 template khusus untuk mendeteksi kerentanan baru dan panel C2/stealer .

Sektor yang ditargetkan meliputi pendidikan, kesehatan, keuangan, telekomunikasi, dan pemerintahan—di lebih dari belasan negara di Amerika Utara, Eropa, dan sekitarnya .

Bukti Kompromi Active Directory Sepenuhnya

Rantai pasca-eksploitasi operator memberikan bukti jelas tentang penguasaan Active Directory (AD) secara penuh :

• Pergerakan lateral: Web shell Neo-reGeorg dan tunnel SOCKS membangun akses internal awal, yang dipersenjatai melalui pergerakan lateral berbasis NTLM via Evil-WinRM .
• Pencurian kredensial: Kunci cadangan DPAPI diekstrak dari pengontrol domain; rahasia SAM dan LSA dibuang; kredensial yang tersimpan di browser diambil .
• Kompromi krbtgt dan golden ticket: Penyerang mengekstrak hash krbtgt dan memalsukan tiket Kerberos dengan masa berlaku hingga puluhan tahun, memungkinkan masuk kembali tanpa batas secara independen dari reset kata sandi dan perbaikan endpoint .
• Konfirmasi melalui insiden nyata: Greater Pittsburgh Orthopaedic Associates (GPOA), penyedia layanan kesehatan AS, muncul dalam direktori dengan konfirmasi kompromi domain (kredensial admin diambil, kunci cadangan DPAPI diekstrak dari pengontrol domain). GPOA kemudian muncul di situs bocoran RansomHouse setelah insiden tahun 2025—dengan jeda waktu yang sesuai dengan tipikal waktu antara broker akses kriminal dan ransomware .

Metode Pengumpulan Intelijen Terhadap Ukraina

Di akhir linimasa operasional, aktivitas beralih dari broker akses komersial murni :

• Penerapan C2 Sliver: Operator menerapkan kerangka kerja command-and-control Sliver terhadap target pertahanan dan dirgantara Ukraina .
• Pencurian kode sumber: Broker mengakses dan mencuri repositori sumber melalui sistem kontrol versi yang terbuka milik proyek terkait pertahanan .
• Pengawasan kamera IP: Operator mengumpulkan citra dari ribuan kamera IP yang terbuka dan mengambil tangkapan layar dari sesi Remote Desktop (RDP) yang terbuka—intelijen yang berguna untuk menentukan lokasi aset militer Ukraina .
• Penargetan sekunder: AS, Eropa, dan Korea Selatan muncul sebagai target intelijen sekunder dalam artefak tersebut .

CloudSEK mencatat bahwa metode ini sangat cocok dengan advisori AIVD/MIVD (intelijen Belanda) tentang pengawasan kamera yang terkait dengan negara Rusia yang digunakan untuk menemukan posisi militer Ukraina .

Bagaimana Profil Ganda Ini Sesuai dengan Praktik Rusia yang Terdokumentasi

CloudSEK menilai dengan keyakinan tinggi bahwa operator adalah broker akses awal berbahasa Rusia yang aktivitasnya yang berfokus pada Ukraina paling baik dijelaskan sebagai kontraktor kriminal yang menjual akses—termasuk intelijen yang berasal dari kamera—kepada pembeli negara .

Ini sejalan dengan pola intelijen Rusia yang terdokumentasi dengan baik: aktor yang disponsori negara (misalnya, SVR, GRU, FSB) secara rutin mendapatkan akses jaringan awal dari ekosistem kriminal daripada melakukan kompromi awal sendiri . Broker kriminal menangani pekerjaan pemindaian dan eksploitasi perangkat edge yang bervolume tinggi dan berisik; klien negara membayar untuk akses yang sudah diposisikan ke target bernilai tinggi (terutama entitas pertahanan, dirgantara, dan pemerintah) tanpa mengekspos infrastruktur yang dikuasai negara selama pelanggaran awal.

Akses yang sama yang dijual broker ke grup ransomware untuk mendapatkan keuntungan dari target komersial juga dijual sebagai jalur pengawasan terhadap target militer Ukraina—sebuah model dual-use di mana kemampuan teknis yang sama menghasilkan pendapatan kriminal dan nilai intelijen strategis bagi negara Rusia .