Target peretas Amerika Selatan memiliki ciri-ciri sponsor negara

LIMA, Peru (AP) – Sebuah kelompok spionase dunia maya yang mengirimkan malware ke jaksa yang kematian misteriusnya melanda Argentina awal tahun ini telah mencapai sasaran di negara-negara berhaluan kiri di seluruh Amerika Selatan, kelompok pengawas internet Citizen Lab melaporkan pada hari Rabu.

Skala dan kebrutalan aktivitas peretas menunjukkan ciri-ciri sponsor negara, demikian temuan para peneliti. Begitu pula targetnya.

Kelompok ini menyerang tokoh oposisi dan jurnalis independen di Ekuador dengan spyware. Itu juga mengoperasikan situs web tiruan. Yang paling luas, ditujukan ke Venezuela, adalah situs berita yang terus diperbarui dengan “informasi” yang meragukan tentang dugaan korupsi di kalangan sosialis yang berkuasa di negara tersebut. Di Ekuador, situs palsu serupa tampaknya telah diadaptasi untuk menarik petugas polisi yang tidak puas.

Para peneliti meluncurkan penyelidikan tiga bulan setelah menentukan bahwa spyware yang ditemukan di ponsel pintar jaksa penuntut Argentina Alberto Nisman ditulis untuk mengirimkan data curian ke struktur perintah-dan-kontrol yang sama dengan malware yang ditujukan pada target yang terinfeksi di Ekuador. Mereka mengatakan para peretas memiliki “kepentingan yang kuat dan sistematis terhadap oposisi politik dan pers independen” di tiga negara tersebut, yang semuanya dijalankan oleh pemerintah sayap kiri yang bersekutu. Hal ini menunjukkan bahwa mereka mungkin bertindak atas nama satu atau lebih negara-negara tersebut, kata laporan itu.

Pada bulan September, para peretas mengancam seorang peneliti Citizen Lab ketika dia mengintip mesin berbasis di AS yang menginfeksi kelompok tersebut.

“Kami akan menganalisis otak Anda dengan peluru – dan juga keluarga Anda,” bunyi pesan yang muncul di layar komputernya. “Kamu suka berperan sebagai mata-mata dan pergi ke tempat yang tidak seharusnya, kamu harus tahu bahwa itu harus dibayar mahal – nyawamu!”

Ini adalah perilaku yang jarang terjadi di kalangan peretas profesional, mungkin menunjukkan sedikit rasa takut terhadap tuntutan pidana, kata Morgan Marquis-Boire, salah satu peneliti.

Pada bulan November, kelompok tersebut mencoba menginfeksi komputer reporter Associated Press dengan serangan phishing yang bertujuan mencuri kata sandi Google miliknya.

Para peneliti mengidentifikasi kelompok tersebut melalui domain Internet yang saling terkait dan mengungkap tanda tangan digital pada email yang dikirim untuk menginfeksi komputer. Mereka mengatakan bahwa mereka telah aktif selama tujuh tahun, dan menemukan bahwa mereka telah menggunakan layanan hosting di Brasil setidaknya sejak tahun 2008.

Namun, menentukan siapa yang berada di balik peretasan hanya dapat dilakukan dengan perintah pengadilan karena kebijakan privasi perusahaan hosting internet.

Dalam dua contoh, target menerima email dari organisasi palsu yang mengaku menentang Presiden Rafael Correa dari Ekuador. Yang lain menerima pesan palsu yang ditandatangani oleh seorang pemimpin oposisi yang mengklaim telah mengungkapkan nama-nama orang yang diselidiki oleh agen mata-mata Ekuador.

Mereka yang mengklik tautan yang tertanam menemukan komputer mereka terinfeksi spyware yang secara diam-diam menghapus informasi dari mesin pengguna dan mengirimkannya ke server yang dijalankan oleh kelompok tersebut, yang oleh para peneliti dijuluki “Packrat.”

“Kami yakin ini adalah operasi yang sangat bertarget,” kata John Scott-Railton, peneliti utama tim The Citizen Lab di Munk School of Global Affairs, Universitas Toronto. “Packrat tampaknya memilih dengan hati-hati dan kemudian tanpa henti mengejar targetnya.”

Kelompok ini telah menggunakan domain Internet yang sama selama bertahun-tahun meskipun terdapat beberapa paparan, sebuah kemudahan teknis yang dapat dihindari oleh berbagai penjahat dunia maya yang khawatir akan teridentifikasi oleh lembaga penegak hukum.

Para peneliti menemukan setidaknya 35 jenis file berbeda yang beroperasi dari domain yang dihosting oleh perusahaan di Argentina, Brasil, Prancis, Spanyol, Swedia, Uruguay, dan Amerika Serikat.

Selama dua tahun terakhir, sekitar dua lusin situs “unggulan” pernah hidup di server milik GoDaddy.com LLC yang berbasis di AS, sebuah perusahaan hosting web. Nama domain yang ditawarkan oleh GoDaddy meliputi soporte-yahoo.com, update-outlook.com, mgoogle.us, dan login-office365.com.

Para peneliti memberi tahu sebagian besar penyedia layanan pada hari Jumat dan meminta agar infrastruktur Packrat yang diketahui ditutup.

Juru bicara GoDaddy Nick Fuller mengatakan perusahaan mengambil tindakan segera ketika mengidentifikasi situs yang bermasalah, namun tidak menjelaskan lebih lanjut.

Citizen Lab diberi label Operation Packrat karena para peretas menggunakan paket trojan akses jarak jauh – atau RAT – yang tersedia secara komersial yang menginfeksi komputer dan ponsel pintar, sehingga memungkinkan peretas mencegat penekanan tombol, email, dan pesan teks. Perangkat lunak ini bahkan dapat membajak mikrofon dan webcam.

Malware tersebut dikemas secara cerdik untuk menghindari deteksi oleh program antivirus, demikian temuan para peneliti.

Penyelidikan diluncurkan setelah ditetapkan bahwa Packrat telah menargetkan Nisman, jaksa penuntut khusus Argentina yang ditemukan tewas karena luka tembak pada Januari lalu ketika mencoba – namun tidak berhasil – mengajukan tuntutan pidana terhadap presiden Argentina.

Para peneliti mengatakan Packrat mengirimkan virus yang sama kepada jurnalis terkemuka Argentina, Jorge Lanata, yang diterima Nisman sebulan sebelum kematiannya.

Sidik jari digital virus tersebut menunjukkan bahwa virus tersebut dibuat untuk berkomunikasi dengan domain Internet yang sama yang digunakan untuk memata-matai tokoh oposisi Ekuador, yang mengidentifikasi malware Packrat di email mereka menggunakan skrip pencarian yang ditulis oleh para peneliti.

Sebagian besar target yang diidentifikasi berada di Ekuador, meskipun peneliti Scott-Railton memperingatkan bahwa kemungkinan besar target tersebut mewakili sebagian kecil dari aktivitas kelompok tersebut.

“Saya ragu operasi mereka yang berpusat di Brazil akan berhenti,” katanya. “Kami tidak ingin Ekuador menutupi fakta bahwa kami sedang melakukan kampanye di mana-mana.”

Di Ekuador, Packrat menargetkan wartawan, aktivis lingkungan hidup, dan bahkan satiris yang dikenal sebagai Crudo Ecuador, yang cercaannya membuat marah presiden. Mereka juga membuat situs web yang dirancang untuk mencerminkan antarmuka web email Majelis Nasional Ekuador dalam upaya nyata untuk mengambil nama pengguna dan kata sandi anggota parlemen dan meretas akun mereka, demikian temuan penyelidikan.

Jurnalis Janet Hinostroza, yang memenangkan penghargaan kebebasan pers pada tahun 2013 dari Komite Perlindungan Jurnalis yang berbasis di New York, mengatakan bahwa dia diretas pada bulan Januari dan kemudian diretas lagi pada bulan Agustus, sebulan setelah Menteri Dalam Negeri mengklaim bahwa dia terlibat dalam rencana untuk menggulingkan pemerintahan. wartawan. pemerintah.

“Komputer saya telah terkontaminasi begitu lama sehingga saya membayangkan mereka mempunyai akses terhadap semua informasi saya,” kata Hinostroza.

Dia masih tidak dapat mengakses kontak dan data lain di Apple iCloud miliknya karena peretas mengubah kata sandi dan pertanyaan keamanannya.

Dugaan lain yang menjadi sasaran Packrat di Ekuador adalah Martha Roldos, seorang aktivis lingkungan hidup, dan Cesar Ricuarte, direktur pengawas kebebasan pers Fundamedios. Roldos menerima total 34 email berbahaya dari Packrat, menurut temuan Citizen Lab.

Salah satu situs web yang dibuat oleh Packrat, bernama “justicia-desvinculados.com,” mencoba menarik perhatian petugas polisi Ekuador yang dipecat setelah pemberontakan pada September 2010 atas tunjangan yang sangat mengguncang Correa. Sekarang dihapus, itu termasuk akun Twitter yang berafiliasi.

Situs web palsu kelompok ini yang paling luas tampaknya adalah Pancaliente.info, ringkasan berita ramah oposisi di Venezuela, termasuk artikel-artikel yang dijiplak dan “informasi” yang tidak akurat.

Saat offline pada hari Selasa, situs tersebut tidak menampilkan informasi kontak tentang dirinya.

Tapi itu meminta pembaca untuk memasukkan alamat email mereka.

Sukai kami Facebook
Ikuti kami Twitter & Instagram