Pengantar

Sebuah peringatan bersama (joint advisory) baru saja dikeluarkan oleh berbagai lembaga intelijen dunia, termasuk CISA, FBI, dan NSA. Mereka memperingatkan adanya gelombang serangan siber yang menargetkan pengguna platform email populer Zimbra Collaboration Suite (ZCS).

Serangan ini terbilang sangat berbahaya karena memanfaatkan celah keamanan berkode CVE-2025-66376 yang bertipe zero-click. Artinya, korban tidak perlu mengklik tautan (link) atau mengunduh berkas jahat apa pun—cukup dengan membuka atau melihat tampilan pesan email tersebut di browser, sistem dapat langsung terinfeksi.

Siapa Pelakunya dan Siapa Targetnya?

Serangan ini dikaitkan dengan kelompok peretas tingkat tinggi yang disokong oleh pemerintah Rusia, yang sering dikenal di dunia keamanan siber dengan sebutan Laundry Bear (atau nama lain seperti Void Blizzard dan TA488).

Target utama dari kampanye peretasan ini meliputi:

  • Lembaga Pemerintahan & Pertahanan

  • Sektor Energi & Infrastruktur Kritis

  • LSM, Media, dan Sektor Pendidikan

Sebagian besar target berlokasi di negara-negara anggota Five Eyes (AS, Inggris, Kanada, Australia, Selandia Baru), serta kawasan Eropa dan Ukraina.

Bagaimana Cara Kerja Serangannya?

Metode yang digunakan peretas sangat terencana dan berjalan secara otomatis di latar belakang:

  1. Mengirim Email Jahat: Peretas mengirimkan email yang di dalamnya telah disisipi kode Cross-Site Scripting (XSS) dan pemformatan khusus yang berhasil melompati saringan keamanan (sanitizer) Zimbra.

  2. Eksekusi Otomatis: Ketika pengguna membuka email tersebut melalui webmail, kode JavaScript jahat akan langsung berjalan tanpa disadari oleh pengguna.

  3. Pencurian Data: Skrip tersebut bekerja seperti “penyedot data” yang secara otomatis mengambil:

    • Riwayat email hingga 90 hari terakhir.

    • Buku alamat kontak instansi (Global Address List).

    • Kata sandi yang tersimpan dan token akses.

  4. Mempertahankan Akses: Peretas secara diam-diam membuat kata sandi aplikasi baru (App-Specific Password) di dalam akun korban. Dengan begitu, mereka tetap bisa masuk ke akun tersebut meskipun pengguna nantinya telah mengubah kata sandi utamanya.

Dampak yang Ditimbulkan

Bahaya utama dari serangan ini tidak hanya sebatas kebocoran dokumen rahasia atau komunikasi sensitif instansi. Karena peretas berhasil menanamkan akses permanen, akun yang telah diretas juga sering kali dimanfaatkan untuk mengirimkan email jebakan lanjutan ke rekan kerja atau instansi lain, menciptakan efek domino.

Langkah Pencegahan dan Solusi

Bagi organisasi atau tim TI yang menggunakan layanan Zimbra, berikut langkah-langkah mitigasi yang sangat disarankan:

  • Segera Perbarui Sistem (Patching): Lakukan update Zimbra Collaboration Suite ke versi terbaru yang sudah menyediakan perbaikan resmi (seperti v10.0.18+, v10.1.13+, atau rilis perbaikan terbaru).

  • Reset Akses & Sesi: Jika ada indikasi mencurigakan, segera reset kata sandi seluruh pengguna, putus semua sesi aktif (invalidate sessions), dan perbarui kunci autentikasi ganda (2FA).

  • Audit Kata Sandi Aplikasi: Periksa daftar App-Specific Passwords pada akun-akun pengguna untuk memastikan tidak ada kunci akses asing yang dibuat secara diam-diam oleh peretas.

Kesimpulan

Ancaman siber tipe zero-click seperti ini membuktikan bahwa kewaspadaan pengguna saja tidak lagi cukup untuk mencegah peretasan. Pembaruan perangkat lunak secara berkala dan pemantauan sistem yang aktif tetap menjadi benteng pertahanan paling krusial bagi setiap organisasi.

Related Posts: