Peretas Salahgunakan Software ViPNet untuk Targetkan Instansi Pemerintah Rusia
Aktor ancaman tingkat lanjut terdeteksi menyalahgunakan mekanisme update pada rangkaian software private networking ViPNet untuk menargetkan organisasi di Rusia, termasuk instansi pemerintah.
Kampanye yang dijuluki HelloNet ini disebut telah aktif setidaknya sejak Mei 2026. Serangan tersebut menggunakan payload berbahaya yang berfungsi sebagai proxy dan loader untuk mengirimkan malware tambahan ke sistem korban.
Menurut laporan peneliti keamanan, kampanye HelloNet telah berdampak pada organisasi di sektor pemerintahan, energi, transportasi, pendidikan, dan logistik. Pemilihan target ini menunjukkan bahwa serangan tidak bersifat acak, melainkan diarahkan ke organisasi bernilai tinggi di lingkungan Rusia.
ViPNet Banyak Dipakai di Lingkungan Pemerintah Rusia
ViPNet adalah keluarga produk keamanan informasi asal Rusia yang dikembangkan oleh InfoTeCS. Produk ini mencakup VPN, perlindungan endpoint dan akses jaringan, firewall, certificate management, administrasi terpusat, serta fitur secure messaging dan file transfer.
Software tersebut umum digunakan di Rusia, termasuk pada organisasi yang berada di lingkungan pemerintah dan sektor teregulasi. Karena cakupan penggunaannya luas di entitas bernilai tinggi, ViPNet menjadi target menarik bagi kelompok peretas yang ingin memperoleh akses ke jaringan internal korban.
Ini bukan pertama kalinya ViPNet dikaitkan dengan operasi siber. Pada April 2025, peneliti keamanan juga melaporkan adanya serangan yang menyamar sebagai update ViPNet untuk mengelabui target.
Penyalahgunaan Mekanisme Update Lokal
Dalam kampanye terbaru ini, penyerang menempatkan file berbahaya bernama wtsapi32.dll di direktori lokal ViPNet Update System. File tersebut, yang disebut HelloInjector, kemudian di-sideload saat startup sistem melalui executable sah itcsrvup64.exe.
Teknik DLL side-loading memanfaatkan aplikasi legitimate untuk memuat library berbahaya. Karena eksekusi terjadi melalui komponen yang tampak sah, aktivitas ini dapat lebih sulit dibedakan dari proses normal jika monitoring endpoint tidak cukup ketat.
HelloInjector berperan sebagai first-stage loader. Setelah aktif, komponen ini menyuntikkan diri ke proses svchost.exe, memberikan payload tahap berikutnya privilege yang lebih tinggi di Windows dan membantu mempertahankan persistence setelah sistem reboot.
Peneliti belum menjelaskan secara pasti bagaimana penyerang memperoleh akses awal untuk melakukan perubahan file tersebut. Mereka juga tidak menyatakan bahwa infrastruktur update ViPNet sendiri telah dikompromikan.
HelloProxy, HelloExecutor, dan HelloCleaner
Setelah dijalankan, HelloInjector mengeksekusi payload tertanam yang dinamai HelloProxy langsung di memori. Komponen ini berkomunikasi dengan server command-and-control (C2) untuk menerima modul tambahan.
Salah satu modul lanjutan adalah HelloExecutor, backdoor yang dapat menjalankan perintah dan melakukan network reconnaissance pada host korban. Kemampuan ini memungkinkan penyerang memetakan lingkungan jaringan dan mempersiapkan tahap serangan berikutnya.
Modul lain bernama HelloCleaner dirancang untuk menghapus data log ViPNet, sehingga aktivitas berbahaya lebih sulit dilacak. Selain itu, terdapat implant Rust-based bernama HelloBackdoor yang mendukung upload dan download file serta eksekusi perintah.
Atribusi Masih Berkeyakinan Rendah
Kampanye HelloNet sementara ini dikaitkan dengan kelompok advanced persistent threat (APT) berbahasa Tiongkok yang belum teridentifikasi. Namun atribusi tersebut dinilai lemah dan belum cukup untuk memastikan pelaku sebenarnya.
Indikator yang digunakan antara lain string tidak terpakai yang merujuk ke situs web Tiongkok sina.com dan mirror unduhan malware yang di-host oleh University of Science and Technology of China. Karena bukti tersebut dapat saja ditanam sebagai false flag, kemungkinan operasi penyamaran belum dapat dikesampingkan.
Rekomendasi Pemantauan untuk Pengguna ViPNet
Organisasi yang menjalankan software ViPNet disarankan melakukan pemantauan menyeluruh pada sistem terkait, terutama terhadap perubahan file di direktori ViPNet Update System dan eksekusi DLL yang tidak biasa melalui proses update legitimate.
Tim keamanan juga perlu memantau lalu lintas jaringan pada port 5003 dan 5060 yang dikaitkan dengan HelloProxy, serta port 443 yang digunakan oleh HelloBackdoor. Aktivitas anomali pada proses svchost.exe, koneksi C2, dan penghapusan log ViPNet juga perlu menjadi prioritas deteksi.
Kasus HelloNet menunjukkan bahwa software keamanan dan networking yang dipercaya organisasi dapat menjadi jalur serangan ketika mekanisme lokalnya disalahgunakan. Untuk organisasi bernilai tinggi, verifikasi integritas file, hardening endpoint, dan pemantauan update process menjadi bagian penting dari pertahanan.
Sumber: Kaspersky
