Pakar keamanan siber dari berbagai lembaga riset terkemuka baru-baru ini mengungkap rincian mendalam mengenai kampanye peretasan digital yang sedang marak terjadi, di mana sebuah platform uji penetrasi berbasis kecerdasan buatan otonom yang dikenal dengan nama AntiFox telah dieksploitasi oleh kelompok penyerang siber untuk mencuri berbagai kredensial akses penting milik layanan komputasi awan Amazon Web Services (AWS) serta melancarkan manuver pergerakan lateral yang sangat berbahaya ke dalam lingkungan infrastruktur yang berhasil dikompromikan.
"Dalam serangkaian intrusi siber berbahaya yang terpantau dalam beberapa waktu terakhir, sistem komputasi Alibaba Cloud yang secara aktif menampung dan mengoperasikan antarmuka dari platform AntiFox ditemukan memiliki keterkaitan kuat dengan serangkaian aksi destruktif yang telah terkonfirmasi terhadap berbagai layanan web yang terhubung langsung ke internet publik serta seluruh ekosistem lingkungan AWS yang berhubungan dengannya," jelas perwakilan tim peneliti keamanan Arctic Wolf Labs dalam laporan intelijen siber komprehensif yang dibagikan secara resmi kepada The Hacker News.
Rangkaian aktivitas operasional penyerangan digital ini teramati secara konsisten menggabungkan serangkaian teknik eksploitasi celah aplikasi web dengan proses penyebaran pintu belakang berupa web shell yang dirancang secara khusus untuk memfasilitasi penemuan konfigurasi internal sistem, proses validasi kredensial pengguna, pencarian serta enumerasi mendalam terhadap puluhan portofolio layanan komputasi awan, akses tidak sah ke data rahasia produksi tingkat tinggi, hingga pelaksanaan berbagai operasi manipulasi penyimpanan berkas penting perusahaan.
Platform pengujian penetrasi cerdas AntiFox, yang hingga saat ini dapat diunduh secara bebas oleh publik melalui repositori daring populer GitHub, dipromosikan dan dideskripsikan secara luas sebagai platform uji penetrasi otonom mutakhir yang sepenuhnya ditenagai oleh kecerdasan buatan (artificial intelligence/AI). Tercatat pada saat laporan teknis ini disusun, proyek repositori sumber terbuka tersebut telah mengalami proses penggandaan kode atau forked sebanyak 251 kali dan berhasil mengumpulkan tanda bintang favorit atau starred hingga mencapai angka 474 kali dari komunitas pengembang perangkat lunak global.
Dalam lembar dokumentasi resmi atau berkas halaman README repositori tersebut, sang pengembang dan pengelola inti proyek komputasi ini menjelaskan prinsip kerjanya sebagai berikut –
Ketika diberikan sebuah target sasaran yang telah memiliki izin sah, arsitektur sistem multi-agen cerdas yang terdiri dari struktur planner, worker, dan main-agent akan secara terkoordinasi mengeksekusi seluruh rangkaian proses penugasan ofensif di atas inti graf ganda yang mutakhir (yakni perpaduan terintegrasi antara graf aset global bersama graf eksplorasi per tugas khusus) — mulai dari langkah pengintaian awal, pemetaan permukaan serangan digital, eksekusi eksploitasi kelemahan teknis, pengumpulan temuan bukti nyata kompromi, hingga pengiriman draf laporan pengujian akhir — yang keseluruhannya dapat diamati secara penuh, bersifat interaktif secara real-time, serta siap disajikan sebagai laporan kerja.
Sangat berbeda bila dibandingkan dengan mayoritas perangkat pengujian penetrasi otomatis konvensional di industri yang umumnya dinilai "sangat piawai dalam tahap pengungkapan kelemahan awal, namun terhenti sekadar pada fase penemuan tersebut," platform AntiFox sengaja menaruh fokus dan kapabilitas terbesarnya pada penyajian hasil akhir yang nyata — yakni mentransmisikan dan mengonversi seluruh temuan intelijen yang diidentifikasi oleh agen kecerdasan buatan ke dalam format laporan yang terstruktur rapi sehingga mudah dimengerti oleh insinyur perangkat lunak, dapat direplikasi secara teknis dengan mudah, diperkuat oleh bukti log faktual, serta dapat langsung diserahkan secara profesional kepada pihak klien bisnis.
Berdasarkan pengamatan dan analisis teknis mendalam yang dilakukan oleh tim peneliti Arctic Wolf, sebagian dari aktivitas intrusi awal yang berhasil tercatat terhubung erat dengan insiden kompromi pada aplikasi server Internet Information Services (IIS) milik Microsoft yang terhubung tanpa proteksi memadai ke internet publik. Hak akses tidak sah yang berhasil didapatkan tersebut selanjutnya dimanfaatkan secara sistematis untuk membentuk dan menanamkan modul web shell berbasis ASPX dengan menyalahgunakan berkas biner "w3wp.exe," yang notabene merupakan proses pekerja inti dari lingkungan server IIS, sebelum akhirnya mengeksekusi serangkaian perintah sistem operasi tingkat rendah untuk melancarkan tindakan terencana berikut ini –
"Pada server IIS yang telah berhasil dikompromikan tersebut, rentetan baris perintah yang dieksekusi melalui perantara w3wp.exe bertugas mengidentifikasi konteks hak istimewa operasional menggunakan utilitas whoami, memetakan seluruh isi direktori penyimpanan aplikasi web, memeriksa struktur izin berkas menggunakan perintah icacls, serta menguji kapabilitas sistem untuk menulis berkas baru secara langsung ke dalam direktori web root utama," papar tim ahli Arctic Wolf.
"Fakta mengenai terciptanya berkas web shell ASPX melalui proses resmi w3wp.exe, yang kemudian secara cepat diikuti oleh eksekusi baris perintah internal melalui proses pekerja IIS yang sama persis tersebut, mengindikasikan secara sangat kuat adanya kompromi awal yang terjadi melalui celah kerentanan aplikasi web yang terpengaruh."
Titik kerentanan perangkat lunak spesifik yang sebelumnya dieksploitasi oleh aktor jahat guna memperoleh kemampuan eksekusi kode biner jarak jauh pada lingkungan server IIS tersebut hingga saat ini masih belum dapat dipastikan secara pasti. Sementara itu, dalam skenario gelombang serangan siber lainnya, kelompok aktor ancaman digital tersebut dilaporkan mengawali rangkaian aksinya menggunakan kredensial akun valid AWS yang berhasil mereka peroleh terlebih dahulu melalui metode atau jalur lain yang hingga kini belum teridentifikasi secara tuntas.
Secara lebih mendalam dan spesifik, alur serangan siber ini melibatkan penyalahgunaan identitas sah manajemen akses identitas (IAM) untuk memvalidasi kredensial curian serta memetakan dan mengenumerasi secara masif puluhan layanan komputasi awan krusial, yang mencakup layanan IAM, EC2, S3, Lambda, Secrets Manager, KMS, RDS, ECS, EKS, Redshift, Athena, Glue, Systems Manager, API Gateway, CloudWatch, CloudFormation, DynamoDB, hingga platform fondasi model AI Amazon Bedrock.
Meskipun pada praktiknya sebagian besar dari permintaan antarmuka pemrograman aplikasi (API) lintas layanan yang terautentikasi tersebut berujung pada penolakan dengan munculnya pesan kesalahan resmi "AccessDenied," sejumlah operasi pencarian konfigurasi serta aksi pembobolan akses data rahasia tingkat lanjut tetap berhasil dieksekusi secara mulus, demikian konfirmasi resmi dari entitas perusahaan keamanan siber tersebut.
Dalam setidaknya beberapa insiden serangan nyata yang berhasil dipantau, aktivitas ofensif ini terbukti mampu melangkah jauh melampaui fase enumerasi dasar Secrets Manager, hingga berhasil menembus dan mengeksekusi panggilan fungsi GetSecretValue yang ditujukan langsung terhadap data rahasia penting di lingkungan komputasi produksi. Di tempat dan kasus terpisah lainnya, identitas akun AWS resmi yang valid disalahgunakan oleh pelaku untuk melancarkan proses pemindaian wadah penyimpanan S3 serta mengeksekusi operasi manipulasi objek data rahasia melalui serangkaian panggilan protokol API terprogram.
"Kehadiran kerangka kerja berbasis agen mandiri semacam ini membuat berbagai teknik pengujian penetrasi tingkat tinggi menjadi jauh lebih mudah diakses oleh beragam aktor ancaman siber, sembari pada saat yang sama melipatgandakan kecepatan serta konsistensi eksekusi dari teknik-teknik peretasan tersebut saat diterapkan langsung dalam operasi serangan langsung di dunia nyata," tegas perwakilan Arctic Wolf.
Lonjakan Pemanfaatan Alat Berbasis Kecerdasan Buatan dalam Serangan Siber
Pengungkapan kasus pembobolan infrastruktur komputasi awan ini mengemuka di tengah tren meningkatnya langkah kelompok aktor ancaman kejahatan digital dalam mempersenjatai berbagai perangkat uji penetrasi berbasis kecerdasan buatan canggih seperti ARTEX guna melancarkan serangan siber berskala masif di berbagai belahan dunia, yang memberikan mereka kapabilitas mutakhir untuk mengotomatisasi hampir seluruh tahapan intrusi peretasan dengan keterlibatan intervensi manusia yang sangat minim.
Langkah integrasi teknologi kecerdasan buatan generatif ini telah memungkinkan berbagai entitas musuh siber, baik sindikat peretas berskala besar maupun pelaku kriminal kecil, untuk mengadaptasi metode operasional peretasan klasik yang telah teruji lalu menjalankannya secara otomatis secepat kilat mesin komputasi, sehingga membuka peluang bagi mereka untuk bertransisi cepat dari sekadar melakukan pemindaian kunci rahasia di repositori GitHub hingga berhasil mengekstraksi data berharga dari brankas Azure Key Vault hanya dalam kurun waktu lima menit singkat.
Pada awal pekan ini, lembaga riset keamanan VECERT juga membongkar rincian penting terkait sebuah kampanye operasi spionase siber yang diberi label Operation Ghost-Campus, yang diarsiteki oleh kelompok aktor ancaman bermotif kejahatan asal Tiongkok yang memanfaatkan bantuan agen kecerdasan buatan otonom guna mengamankan akses gratis tanpa henti ke model bahasa berskala besar (LLMs), yang pada akhirnya dipakai guna mengeksekusi aksi penipuan akademik otomatis serta mencuri tumpukan data pribadi milik lebih dari 5.000 mahasiswa terdaftar di area Kampus Fengxian.
"Agen cerdas ini mengindustrialisasikan alur pembuatan ratusan akun secara massal pada mesin pencari perangkat siber fofa.info, memindai ruang siber global guna melacak keberadaan server yang mengalami kesalahan konfigurasi, mengekstraksi paksa kunci token API untuk layanan OpenAI dan DeepSeek, secara otomatis memverifikasi ketersediaan saldo finansial di dalamnya, lalu menyuntikkan token tersebut ke dalam lingkungan pengembangan milik sang penyerang," ungkap tim peneliti dari VECERT.
"Daya komputasi curian berkapasitas besar ini kemudian dimanfaatkan untuk menyokong operasional terminal interaktif berbasis GoTTY (yang dinamai 'Pi — AI Coding Assistant') dan, melalui perluasan fungsionalitas tersebut, menyediakan pasokan kecerdasan komputasi bagi skrip-skrip yang menggerakkan bot penipuan akademik (disebut bot 'heartbeat') serta modul ekstraksi data keuangan sensitif dan informasi identitas pribadi (PII) milik ribuan mahasiswa yang menempuh pendidikan di Kampus Fengxian."
Merujuk pada catatan data telemetri yang dihimpun oleh Censys, terdapat sekitar 1.465 sistem komputer host yang secara terbuka mengekspos konsol antarmuka ARTEX per tanggal 4 November 2026, di mana sebagian besar dari konsol yang terdeteksi tersebut berlokasi secara geografis di Amerika Serikat, Hong Kong, Tiongkok, Jepang, Singapura, dan Korea Selatan. Meskipun demikian, sangat penting untuk digarisbawahi bahwa tidak seluruh instans sistem yang ditemukan tersebut secara otomatis memiliki kaitan atau niat yang bersifat jahat.
Dalam sebuah laporan riset keamanan independen yang dirilis secara terpisah, divisi intelijen Check Point Research menyatakan bahwa pihaknya berhasil mengidentifikasi keberadaan 2.557 sistem perangkat yang menampung komponen perangkat lunak ARTEX, termasuk 10 instans di antaranya yang mengalami kekeliruan konfigurasi fatal hingga memaparkan seluruh isi basis data internal mereka ke publik.
"Dalam banyak sekali kasus intrusi yang berhasil kami amati secara mendalam, platform ARTEX terbukti hanya memerlukan sedikit sekali bentuk interaksi langsung dari operator pengendalinya begitu sebuah sasaran akhir telah berhasil ditetapkan," ungkap Check Point dalam analisisnya. "Alih-alih terus-menerus memberikan instruksi komando taktis langkah demi langkah tanpa henti, operator di balik layar sering kali hanya melontarkan satu instruksi sasaran strategis lalu membiarkan armada agen cerdas bekerja mandiri mencapainya. Interaksi langsung dari manusia sebagian besar hanya terbatas pada memantau grafik perkembangan serangan, menanyakan apakah target telah berhasil dijebol, atau sewaktu-waktu mengubah prioritas target sasaran."
Mayoritas mutlak dari gelombang serangan terarah ini sengaja dikonstruksikan untuk menguras dan menyedot aset mata uang kripto korban, mencuri sertifikat penandatanganan kode digital resmi milik Apple, membajak akun platform permainan daring, serta melancarkan rentetan serangan penolakan layanan (denial-of-service/DoS) terhadap berbagai situs judi internet. Rangkaian aktivitas berbahaya ini terbukti secara konsisten mengeksploitasi berbagai celah kerentanan perangkat lunak yang berakar pada penggunaan kata sandi yang lemah atau tertanam permanen (hard-coded), ketiadaan sistem autentikasi gerbang masuk, celah insecure direct object references (IDOR), hingga kelemahan eksekusi kode jarak jauh (RCE).
Khusus pada kampanye peretasan yang menargetkan pencurian sertifikat penandatanganan kode milik ekosistem Apple, agen pintar ARTEX dikonfigurasi untuk menyisir dan melacak pangkalan data sertifikat di dalam sistem target yang telah dibobol, yang kemudian dilanjutkan dengan memvalidasi keabsahan sertifikat curian tersebut melalui proses pemeriksaan kata sandi pelindung, keabsahan kunci privat, status pencabutan resmi di server Apple, tanggal kedaluwarsa dokumen, serta keterkaitan profil provisi yang relevan.
Pada akhirnya, rangkaian operasi pencurian sertifikat ini ditaksir telah berhasil meraup lebih dari 300 lembar sertifikat digital berserta seluruh kredensial kata sandinya, di mana dari jumlah keseluruhan tersebut, sebanyak tiga sertifikat terkonfirmasi lolos seluruh proses validasi ketat dan dapat langsung disalahgunakan untuk menandatangani aplikasi iOS berbahaya secara bebas tanpa batasan.
Pergeseran paling masif dan fundamental yang dibawa oleh fenomena peretasan berbasis agen otonom terhadap lanskap ancaman siber modern saat ini terletak pada skala operasional dan kecepatannya yang belum pernah terjadi sebelumnya, demikian peringatan yang disuarakan oleh Check Point, mengingat kini seorang pelaku kejahatan digital dengan keahlian teknis yang sangat terbatas sekalipun dapat dengan mudah menugaskan agen-agen kecerdasan buatan untuk menginvestigasi banyak target sekaligus secara paralel serta mengeksploitasinya menggunakan celah kerentanan yang sudah diketahui publik maupun kerentanan zero-day dengan tenaga manual yang sangat minim.
"Urgensi dan relevansi platform ini bagi pertahanan siber kita terletak pada skalabilitasnya yang masif, kecepatan eksekusinya yang tinggi, serta tingkat persistensinya yang luar biasa," tegas perwakilan lembaga tanggap darurat siber CERT-EU dalam sebuah buletin peringatan resmi. "ARTEX memiliki kapabilitas untuk menguji ribuan kesalahan konfigurasi berisiko rendah yang sangat banyak, termasuk jenis-jenis anomali yang sejatinya dapat disadari oleh seorang analis keamanan manusia namun sering kali dilewati karena tidak adanya waktu yang cukup untuk memeriksa semuanya, serta mampu menyelesaikan rantai serangan digital yang sangat panjang dan rumit tanpa pernah mengalami rasa lelah yang kerap membatasi efektivitas uji manual manusia."
"Karakteristik keunggulan yang persis sama juga berlaku dalam proses perancangan dan perakitan kode muatan (payload) yang kompleks dan berlapis. Jalur eksploitasi kerentanan yang memerlukan penyesuaian muatan secara amat teliti sering kali menuntut waktu dan upaya analisis yang dinilai jauh lebih besar daripada tingkat signifikansi temuan risiko itu sendiri, sehingga dalam proses penilaian keamanan manual tradisional, celah-celah tersebut kerap kali terabaikan dan dibiarkan tanpa pengujian sama sekali."
Perangkat ofensif modern seperti AntiFox dan ARTEX sejatinya merupakan bagian integral dari lanskap yang jauh lebih luas, yang menaungi sekitar 45 kerangka kerja serangan berbasis agen otonom sumber terbuka yang sengaja dirancang secara khusus untuk terhubung langsung ke antarmuka model bahasa berskala besar (LLM) serta memiliki kapabilitas untuk bertindak secara mandiri berdasarkan respons yang dihasilkan. Berbagai kerangka kerja cerdas ini secara umum terpetakan ke dalam lima kategori operasional utama –
"Masing-masing kerangka kerja ofensif ini didukung oleh kode sumber yang dapat diakses secara publik dan merangkai model kecerdasan buatan ke dalam sebuah lingkaran eksekusi terpadu yang secara mandiri menjalankan utilitas peretasan lalu segera mengambil tindakan operasional berdasarkan luaran data yang diterimanya," ungkap analisis resmi dari GitGuardian.
"Perangkat uji penetrasi berbasis AI otonom memberikan agen pintar mereka akses penuh ke terminal shell sistem dan konektivitas jaringan web secara leluasa, sehingga model bahasa dapat merangkai alur kerja serangan secara instan pada saat program sedang berjalan. Aktivitas seperti menelusuri repositori GitHub, mengunduh pemindai celah keamanan, dan meneruskan kunci kredensial yang baru ditemukan ke fungsi eksekusi berikutnya kini semuanya hanya berjarak satu prompt instruksi sederhana saja, meskipun tidak satu pun dari komponen fungsional tersebut yang disertakan secara langsung di dalam repositori kode aslinya."
About the Author
