Serangan siber Ukraina 2022

Ketegangan antara Rusia dan Ukraina sedang meninggi ketika serangan siber tersebut terjadi, dengan lebih dari 100.000 tentara Rusia yang ditempatkan dekat perbatasan Ukraina dan dialog-dialog antara Rusia dan NATO yang tengah berlangsung.^[1] Pemerintah Amerika Serikat menuduh Rusia sedang mempersiapkan invasi ke Ukraina, termasuk "aktivitas sabotase dan operasi informasi". Amerika juga diduga menemukan bukti adanya "operasi bendera palsu" di Ukraina Timur, yang dapat digunakan sebagai dalih untuk melakukan invasi.^[2] Rusia membantah tuduhan akan adanya invasi, tetapi mengancam akan melakukan "tindakan teknis militer" jika tuntutannya tidak dipenuhi, terutama permintaan agar NATO tidak mengakui Ukraina berada dalam aliansinya. Rusia telah menentang keras perluasan NATO ke wilayah perbatasannya.^[2]

Serangan pada 14 Januari 2022 terdiri dari para peretas yang mengganti situs web dengan teks dalam bahasa Ukraina, bahasa Polandia yang salah, dan bahasa Rusia, yang menyatakan "takut dan menunggu yang terburuk" dan menuduh bahwa informasi pribadi telah bocor ke internet.^[8] Sekitar 70 situs web pemerintah terdampak sebagai akibat dari serangan ini, termasuk situs Kementerian Luar Negeri, Kabinet Menteri dan Dewan Keamanan dan Pertahanan.^[9] Agen Keamanan Ukraina menyatakan bahwa tidak ada data yang bocor. Segera setelah pesan tersebut muncul, situs tersebut menjadi lumpuh. Sebagian besar situs-situs dapat dipulihkan kembali dalam beberapa jam.^[1] Wakil sekretaris NSDC Serhiy Demedyuk, menyatakan bahwa Ukraina melakukan penyelidikan atas serangan tersebut dan mencurigai adanya akses hak admin perusahaan pihak ketiga yang digunakan untuk melakukan serangan. Situs-situs pemerintah yang dikembangkan sejak 2016 melalui pemberdayaan perangkat lunak tanpa nama ini, sebagian besar terdampak dari serangan-serangan siber tersebut.^[9] Demedyuk juga menyalahkan kelompok peretas UNC1151 yang diduga terkait dengan intelijen Belarus atas serangan ini.^[10]

Sementara itu, pada saat yang bersamaan, terjadi pula serangan malware yang destruktif. Serangan ini muncul pertama kali pada 13 Januari 2022, yang terdeteksi oleh Microsoft Threat Intelligence Center (MSTIC). Malware ini diinstal pada perangkat "beberapa organisasi milik pemerintah, lembaga nirlaba dan teknologi informasi" di Ukraina.^[11] Belakangan, hal ini dilaporkan mencakup Layanan Darurat Negara dan Biro Asuransi Motor Transport.^[12] Perangkat lunak yang diberi nama DEV-0586 atau "WhisperGate", dirancang agar terlihat seperti ransomware pada umumnya, tetapi tidak memiliki fitur pemulihan, yang terindikasi bahwa malware ini hanya untuk menghancurkan berkas-berkas, alih-alih mengenkripsinya untuk mendapatkan tebusan.^[11] MSTIC melaporkan bahwa malware tersebut telah diprogram agar aktif ketika perangkat target dimatikan, yang nantinya akan menimpa master boot record (MBR) dengan catatan tebusan biasa. Selanjutnya, malware ini akan mengunduh berkas .exe kedua, yang akan menimpa seluruh berkas dengan ekstensi tertentu dari daftar yang telah ditentukan, lalu menghapus seluruh data yang terdapat di dalamnya. Muatan ransomware dalam serangan ini, dalam beberapa hal berbeda dari serangan ransomware pada umumnya yang menunjukkan indikasi memang bertujuan semata-mata hanya untuk merusak.^[13] Namun, penilaian selanjutnya menunjukkan bahwa tingkat kerusakannya terbatas, kemungkinan besar merupakan pilihan yang disengaja oleh para penyerang.^[12]

Pada 19 Januari, ancaman persisten tingkat lanjut (APT) Rusia yang disebut dengan Gamaredon (juga dikenal sebagai Beruang Primitif atau Aqua Blizzard), melakukan penyerangan untuk menyusupi entitas pemerintah Barat di Ukraina.^[14] Tampaknya, kelompok yang telah aktif sejak 2013 ini, bertujuan untuk menjadi spionase dunia maya.^[14] Tidak seperti kebanyakan APT pada umumnya, Gamaredon secara luas menargetkan pengguna di seluruh dunia (selain berfokus pada target-target tertentu, terutama organisasi/lembaga di Ukraina),^[15] termasuk menyediakan layanan untuk APT-APT lainnya.^[16] Misalnya ancaman kelompok "InvisiMole" yang menyerang sistem-sistem tertentu yang sebelumnya telah disusupi dan diidentifikasi (fingerprinting) oleh Gamaredon.^[15]

Reaksi terhadap serangan Januari

Rusia

Rusia menolak tuduhan Ukraina bahwa mereka terkait dengan serangan siber.^[17]

Ukraina

Lembaga pemerintah Ukraina, seperti Kementerian Luar Negeri dan Pusat Komunikasi Strategis dan Keamanan Informasi menyatakan bahwa pelaku serangan tersebut adalah Federasi Rusia dan mencatat bahwa ini bukan pertama kalinya Rusia menyerang Ukraina.^[8][18]

Organisasi internasional

Perwakilan Tinggi Uni Eropa, Josep Borrell mengatakan mengenai sumber serangan tersebut: “Kita dapat membayangkan dari mana serangan itu berasal dengan kemungkinan tertentu atau dengan margin kesalahan.”^[19] Sekretaris Jenderal NATO Jens Stoltenberg mengumumkan bahwa NATO akan meningkatkan koordinasinya dengan Ukraina dalam pertahanan siber untuk menghadapi potensi serangan siber tambahan. NATO kemudian mengumumkan bahwa mereka juga akan menandatangani perjanjian yang memberikan akses kepada Ukraina untuk platform berbagi informasi malware miliknya.^[2][8]

Serangan DDoS

Pada tanggal 15 Februari, serangan DDoS besar-besaran melumpuhkan situs web Kementerian Pertahanan, Militer dan dua bank terbesar di Ukraina, PrivatBank dan Oschadbank.^[3][20][21] Pemantau keamanan siber NetBlocks melaporkan bahwa serangan tersebut semakin intensif sepanjang hari, hingga memengaruhi aplikasi seluler dan ATM perbankan.^[3] The New York Times menggambarkannya sebagai "serangan terbesar dalam sejarah negara ini". Pejabat pemerintah Ukraina menyatakan bahwa serangan ini kemungkinan besar dilakukan oleh pemerintah asing dan menyatakan bahwa Rusia yang berada di balik serangan tersebut.^[22] Meskipun terdapat kekhawatiran bahwa serangan DDoS dapat menjadi kedok untuk serangan yang lebih serius, seorang pejabat Ukraina mengatakan bahwa serangan semacam itu tidaklah ditemukan.^[12]

Menurut keterangan Pemerintah Britania Raya^[23] dan Dewan Keamanan Nasional Amerika Serikat, serangan tersebut dilakukan oleh Direktorat Intelijen Utama Rusia (GRU). Seorang pejabat keamanan siber Amerika, Anne Neuberger menyatakan bahwa infrastruktur GRU diketahui mentransmisikan komunikasi dengan volume yang tinggi ke alamat IP dan domain yang berbasis di Ukraina.^[24] Juru bicara Kremlin, Dmitry Peskov membantah serangan tersebut berasal dari Rusia.^[25]

Pada tanggal 23 Februari, serangan DDoS lanjutan melumpuhkan beberapa situs-situs web pemerintah, militer dan perbankan Ukraina sehingga menjadi tidak dapat diakses. Namun proses pemulihannya digambarkan mengalami “pemulihan yang lebih cepat”, karena tingkat kesiapan dan peningkatan kapasitas mitigasinya.^[26]

Serangan malware wiper

Tepat sebelum jam 5 sore pada 23 Februari, malware wiper terdeteksi di ratusan komputer milik beberapa organisasi/lembaga di Ukraina, termasuk di sektor keuangan, pertahanan, penerbangan dan layanan teknologi informasi. ESET Research menjuluki malware tersebut sebagai HermeticWiper, yang diambil dari nama sertifikat "code signing" asli dari perusahaan Hermetica Digital Ltd. yang berbasis di Siprus. Menurut laporan, Wiper tersebut dikompilasi pada 28 Desember 2021, sementara Symantec melaporkan aktivitas serangan pada awal November 2021, yang mengindikasikan bahwa serangan tersebut telah direncanakan sebulan sebelumnya. Symantec juga melaporkan serangan wiper terhadap perangkat-perangkat di Lituania dan beberapa organisasi/lembaga yang telah disusupi beberapa bulan sebelum serangan wiper terjadi. Mirip seperti serangan WhisperGate yang terjadi pada Januari 2023, ransomware sering kali disebarkan secara bersamaan dengan wiper sebagai umpan dan wiper tersebut kemudian merusak master boot record perangkat.^[27][28]

Sehari sebelum serangan terjadi, Uni Eropa telah mengerahkan tim siber respons cepat yang terdiri dari sekitar sepuluh pakar keamanan siber dari Lituania, Kroasia, Polandia, Estonia, Rumania dan Belanda. Tidak diketahui apakah tim ini membantu mengurangi dampak serangan siber atau tidak.^[29]

Serangan tersebut bertepatan dengan pengakuan Rusia atas wilayah separatis di Ukraina timur dan otorisasi penempatan pasukan Rusia di sana. Amerika Serikat dan Inggris menyalahkan serangan tersebut pada Rusia. Rusia membantah tuduhan tersebut dan menyebutnya sebagai “Russofobia”.^[26]

Peretasan Viasat

Pada 24 Februari, peretasan jaringan Viasat yang terjadi antara pukul 05.00 dan 09.00 EEST,^[30] kemungkinan dimaksudkan untuk mengganggu jaringan militer Ukraina, yang memberdayakan jaringan Viasat untuk menyediakan layanan telekomunikasi kepada Ukraina.^[31][32] Serangan tersebut kemungkinan bertujuan untuk menyerang “aspek komando dan kendali militer di Ukraina”.^[33][34] Serangan tersebut juga "mengakibatkan ribuan modem broadband satelit Viasat KA-SAT di Ukraina tidak dapat dioperasikan, termasuk yang digunakan oleh militer dan lembaga-lembaga pemerintah lainnya, sehingga menyebabkan kerugian besar."^{[35][31][36][37]}

Dalam komunikasi bersama yang diselenggarakan pada 10 Mei 2022, Pemerintah Barat mengemukakan banyak bukti bahwa Rusia bertanggung jawab atas serangan tersebut karena invasi yang mereka lakukan.^{[38][39][40][41][42]}

Tanggapan awal Ukraina

Pada 26 Februari, Menteri Transformasi Digital Ukraina, Mykhailo Fedorov mengumumkan pembentukan pasukan teknologi informasi, yang terdiri dari para spesialis dunia maya, penulis wara, desainer, pemasar dan ahli sasaran. Hal ini mengakibatkan banyak situs-situs web dan bank-bank pemerintah Rusia diserang.^[43]

Starlink

Para pejabat Ukraina menganggap bahwa akses internet Starlink di negara mereka sebagai solusi yang potensial, dalam rangka mempertahankan diri dan menjaga konektivitas internet selama perang berlangsung.^[44]

Tidak seperti koneksi internet melalui satelit konvensional seperti Viasat, akses internet Starlink bekerja dalam jaringan yang terfragmentasi menjadi beberapa bagian.^[45][46] Internet dipancarkan ke antena penerima tertentu yang memiliki jangkauan terbatas, sehingga memberikan akses internet terbatas hanya ke area penerima tersebut, seperti koneksi hotspot internet individu.^[46][47] Seluruh sistem, mencegah Starlink untuk dapat dilumpuhkan dalam sebuah serangan oleh Rusia.^[46]

Pada tanggal 26 Februari, pemerintah Ukraina dan menteri Ukraina Mykhailo Fedorov meminta bantuan kepada Elon Musk melalui Twitter untuk menyediakan Starlink bagi Ukraina.^[48][49] Musk menyetujuinya, menyusul tanggapan SpaceX dengan mengaktifkan layanan nasional, dengan mengirimkan terminal Starlink yang tiba dua hari kemudian pada 28 Februari.^[48]

Mulai 6 Maret, Rusia mulai meningkatkan frekuensi serangan siber terhadap warga sipil Ukraina secara signifikan.^[50]

Pada tanggal 9 Maret saja, Quad9 mengintersepsi dan memitigasi 4,6 juta serangan terhadap komputer dan telepon di Ukraina dan Polandia, sepuluh kali lebih tinggi dibandingkan rata-rata serangan yang terjadi di Eropa. Pakar keamanan siber Bill Woodcock dari Packet Clearing House mencatat bahwa kueri DNS yang diblokir asal Ukraina jelas menunjukkan peningkatan serangan phishing dan malware terhadap warga Ukraina, dan mencatat bahwa jumlah di Polandia juga lebih tinggi dari biasanya karena 70%, atau 1,4 juta pengungsi Ukraina berada di Polandia pada saat itu.^[51] Woodcock menyatakan "Warga Ukraina menjadi sasaran phishing dalam jumlah besar dan banyak malware yang mencoba masuk ke mesin-mesin mereka, berupaya untuk terkoneksi dengan infrastruktur komando dan kendali yang berbahaya." ^[52]

• serangan siber tahun 2017 di Ukraina
• Krisis Rusia-Ukraina 2021–2022