Peretas Terkait APT29 Bajak Pelacak Web Ukraina, Sasar Pengguna iOS dan Android
Redaksi Bit Nusantara ·
TL;DR · Ringkasan
Kelompok yang dikaitkan dengan APT29 diduga menjalankan kampanye watering hole berskala besar terhadap pengguna iOS dan Android lewat situs tersusup, situs tiruan, dan pelacak analitik Plerdy yang dimodifikasi. Peneliti Sekoia menemukannya pada pertengahan Oktober 2026 dan menamainya Poisoned Source. Kompromi pelacak berlangsung antara 27 Agustus dan 3 September 2026.
Poin kunci
- Sekoia menilai, dengan keyakinan sedang hingga tinggi, bahwa APT29 berada di balik kampanye ini.
- Domain america250[.]holiday dan theowo[.]club menirukan situs America250 dan hotel Raffles London di The OWO.
- Kampanye hanya memakai celah n-day yang sudah ditambal, sehingga perangkat yang diperbarui penuh tidak terpapar.
JAKARTA, BIT NUSANTARA — Sekelompok peretas yang dikaitkan dengan APT29 diduga menjalankan kampanye watering hole berskala besar yang membidik pengguna iOS dan Android.
Peneliti perusahaan keamanan siber Sekoia mengaitkan operasi ini dengan APT29 pada tingkat keyakinan sedang hingga tinggi. Mereka menamai kampanye itu Poisoned Source dan menemukannya pada pertengahan Oktober 2026.
APT29 juga dikenal sebagai Midnight Blizzard, Cozy Bear, dan The Dukes. Kelompok ini secara luas dikaitkan dengan dinas intelijen asing Rusia, SVR. Kelompok tersebut belakangan juga dikaitkan dengan serangan lewat WiFi hotel.
Kampanye memakai tiga jalur infeksi: kompromi situs sah, situs tiruan, dan serangan rantai pasok terhadap Plerdy SEO Tracker. Plerdy adalah layanan analitik web asal Ukraina.
Pada rantai pasok itu, kode berbahaya disuntikkan ke berkas a.plerdy[.]com/public/js/click/main.js antara 27 Agustus dan 3 September 2026. Pelacak tersebut dimuat ribuan situs, sebagian besar di Ukraina.
Situs sayap kanan Eropa berupa partai politik juga termasuk korban. Pengguna pelacak itu pun mencakup halaman militer dan peralatan pertahanan.
Domain tiruan dibuat untuk meniru situs berprofil tinggi di Amerika Serikat, Ukraina, Republik Ceko, dan Bulgaria. Dua di antaranya menirukan situs America250 dan Raffles London di The OWO. Domain america250[.]holiday meniru situs peringatan kemerdekaan America250.
The OWO adalah hotel di dekat Kementerian Pertahanan dan 10 Downing Street. Situs tiruan meneruskan isi dari situs asli dengan model serangan adversary-in-the-middle. Sekoia menduga umpan itu ditujukan kepada diplomat dan pejabat lewat spear-phishing.
Tahap awalnya berupa kode JavaScript yang memprofilkan pengunjung untuk mengetahui perangkat dan versi peramban mereka. Server command-and-control kemudian mengirim rantai eksploit yang cocok. "Kode JavaScript yang disuntikkan mengumpulkan atribut browser dan perangkat," kata peneliti Sekoia Amaury-Jacques Garçon dan Félix Aime.
Skrip itu mengumpulkan 394 field lewat 61 collector, lalu mengirimkannya ke server. Server hanya mengirim eksploit bila pemeriksaan dasar terpenuhi, misalnya layar berukuran wajar dan jumlah titik sentuh tidak nol. "Ini memeriksa siapa yang berkunjung," kata Report URI.
Skrip bernama UltimateFingerprinter muncul di ketiga jalur dan disembunyikan di balik sekitar 2,3 MB kode AngularJS yang tak terpakai.
Eksploit dibagi tiga kelas.
Pada iOS 16.7, penyerang memakai CVE-2025-43529 dan CVE-2024-27834 untuk menarik cookie tersimpan di Safari. Sasarannya basis data WhatsApp dan Telegram, kredensial Keychain, data lokasi, serta foto.
Di iOS, muatan lanjutan berupa exploit kit DarkSword yang mengambil cookie dan seluruh data perangkat. Pada Android, malware mengambil data Chrome dan kata sandi Wi-Fi tanpa membangun persistensi. Rantai berhenti bila perangkatnya Samsung Galaxy S25 Ultra (SM-S938B).
Tujuan akhirnya mencuri cookie peramban dan, pada sebagian kasus, kata sandi Wi-Fi atau seluruh data ponsel. "Cukup membuka halaman saja sudah cukup untuk membuat perangkat Anda disusupi," kata Scott Helme dari Report URI.
Kampanye ini hanya bertumpu pada celah n-day yang sudah ditambal. Karena itu, perangkat yang diperbarui sepenuhnya tidak terpapar.
// Analisis redaksi
pendapat Redaksi Bit Nusantara · terpisah dari fakta
Pemilihan korban patut dicermati dari sisi politik. Situs asosiasi industri kimia AS, partai politik sayap kanan Eropa, dan situs terkait militer Bulgaria dikompromikan. Domain tiruan dibuat untuk AS, Ukraina, Republik Ceko, dan Bulgaria. Pola itu berpotensi menunjukkan minat pada target bernilai strategis, meski tafsir ini bergantung pada atribusi Sekoia yang berkeyakinan sedang hingga tinggi.
Dari sisi data pribadi, jenis informasi yang disasar menjadi pertanyaan serius. Basis data WhatsApp dan Telegram, kredensial Keychain, lokasi, dan foto dapat mengungkap komunikasi serta pergerakan seseorang. Dugaan bahwa umpan hotel dan situs peringatan menyasar diplomat dan pejabat memperkuat kemungkinan itu. Karena kampanye hanya memakai celah yang sudah ditambal, pembaruan sistem berpotensi menjadi pertahanan paling dasar.
- #APT29
- #Plerdy
- #Sekoia
- #Poisoned Source