Operasi QUICSILVER Targetkan Sektor Pemerintahan dan IT Menggunakan Backdoor QUICAgent Berbasis Go

Kampanye Spionase Siber: Menargetkan Lembaga Pemerintah dan Sektor IT

Peneliti keamanan siber dari Seqrite Labs mengungkap kampanye spionase siber bertarget tingkat tinggi dengan sandi Operation QUICSILVER. Operasi ini secara khusus membidik instansi pemerintahan dan sektor teknologi informasi (IT) di kawasan Asia Tenggara, dengan indikasi kuat terafiliasi pada kelompok ancaman siber (threat actor) bernegara (China-nexus).

Serangan ini pertama kali terdeteksi pada April 2026 dengan menggunakan umpan pengumuman libur palsu (HolidayNotice.pdf.exe). Serangan kemudian berevolusi pada Juni dan Juli 2026 dengan memanfaatkan media penyimpanan Virtual Hard Disk (VHD) dan dokumen jalan pintas (LNK) berbahaya berkedok surat undangan wisuda resmi dari Information Technology and Cyber Security Department (ITCSD) kementerian komunikasi setempat.

Rantai Infeksi Berlapis: Eksploitasi LOLBAS dan Rekonstruksi Biner

Rantai infeksi Operation QUICSILVER dirancang sangat rapi menggunakan kombinasi teknik penyamaran berlapis untuk melewati perlindungan antivirus tradisional:

1. Umpan Dokumen Decoy: Berkas VHD memuat shortcut LNK yang menyerupai dokumen PDF. Saat korban membukanya, file tersebut menampilkan dokumen PDF resmi palsu berbahasa Burma di layar korban sebagai distraksi.
2. Penyalahgunaan LOLBAS (ftp.exe): Bersamaan dengan munculnya dokumen umpan, shortcut secara senyap mengeksekusi utilitas bawaan Windows yang sah, yaitu ftp.exe, dengan parameter -s untuk menjalankan perintah-perintah lokal tanpa memicu kecurigaan.
3. Rekonstruksi Biner dari Fragmen Dokumen: Skrip perintah mencari dua berkas dokumen tersembunyi (header.doc dan body.doc) di dalam folder tersembunyi _rels, lalu menggabungkannya menjadi sebuah muatan executable utuh menggunakan perintah native copy /b.

Mengenal Backdoor QUICAgent: Anti-Sandbox dan Komunikasi Protokol QUIC

Muatan akhir dari serangan ini adalah sebuah implan berbasis bahasa pemrograman Go (Golang) yang diberi nama QUICAgent. Malware ini membawa sejumlah kapabilitas canggih:

• Teknik Evasion Anti-Sandbox: Sebelum menghubungi server pengendali, malware menyisipkan jeda acak (100–600 ms) dan mengeksekusi 1.000 iterasi kalkulasi hashing SHA-256 secara intensif guna menghabiskan batas waktu eksekusi analisis pada lingkungan sandbox otomatis.
• Resolusi C2 Dinamis via Cloudflare Workers: Alamat server Command-and-Control (C2) diperoleh secara dinamis dengan mengirimkan permintaan HTTP GET ke domain Cloudflare Workers.
• Komunikasi Terenkripsi QUIC over UDP 443: Alih-alih menggunakan protokol TCP biasa, QUICAgent memanfaatkan protokol modern QUIC melalui port UDP 443 untuk berkomunikasi dengan server C2. Penggunaan protokol ini mempersulit inspeksi lalu lintas oleh firewall konvensional.
• Perintah Kendali Jarak Jauh: Implan mengirimkan sinyal detak (beacon) setiap 5 detik dengan identitas unik X-Agent-ID dan mendukung operasi eksekusi perintah shell, pengunduhan file, navigasi folder, serta manipulasi interval transmisi.
• Mekanisme Persistensi: Menempatkan shortcut LNK pada direktori Windows Startup pengguna agar malware otomatis berjalan setiap kali sistem di-restart.

Ancaman Terkait: Penyisipan Kernel-Mode Driver oleh Kelompok Spionase

Laporan ini beriringan dengan temuan firma keamanan Kaspersky terhadap kelompok APT Mustang Panda yang memperbarui backdoor COOLCLIENT dengan menyematkan driver kernel-mode resmi bersertifikat (Msagent.sys). Driver ini berfungsi sebagai rootkit untuk menyembunyikan proses berbahaya dan melindungi file registri dari deteksi solusi Endpoint Detection and Response (EDR).

Panduan Mitigasi & Pertahanan Enterprise

Untuk mengamankan infrastruktur instansi pemerintah dan perusahaan dari kampanye spionase serupa, langkah-langkah berikut sangat disarankan:

• Blokir Eksekusi File Kontainer Eksternal: Terapkan filter keamanan email dan pembatasan mount otomatis pada file image disk seperti .vhd, .iso, dan .img yang berasal dari sumber luar.
• Perketat Kebijakan Aplikasi (AppLocker/WDAC): Batasi eksekusi utilitas sistem bawaan (LOLBAS) seperti ftp.exe, certutil.exe, dan mshta.exe agar tidak dapat menjalankan skrip dari direktori kerja temporer.
• Pemantauan Lalu Lintas Jaringan UDP 443 (QUIC): Analisis aliran data UDP port 443 yang tidak berasosiasi dengan browser resmi atau aplikasi web yang sah untuk mendeteksi jalur C2 tersembunyi.
• Pelatihan Kesadaran Keamanan (Security Awareness): Edukasi karyawan terhadap bahaya membuka lampiran file yang meminta pengunduhan arsip atau shortcut dokumen yang tidak biasa.

Sumber Informasi

Artikel ini disusun berdasarkan laporan riset intelijen ancaman dari Seqrite Labs, Kaspersky Securelist, serta liputan The Hacker News.

🔗 Sumber asli: The Hacker News — Operation QUICSILVER Targets Myanmar Government and IT with QUICAgent Backdoor