Ksatria
Bagaimana GRU Rusia Membajak 18.000 Router Dunia Tanpa Disadari
Pentagon, US – Bayangkan sebuah skenario: suatu pagi Anda membuka laptop di rumah, mengetikkan alamat surel kantor seperti biasa, memasukkan kata sandi, melewati verifikasi dua langkah, lalu masuk ke kotak masuk. Tak ada yang aneh. Tak ada peringatan. Tapi di balik layar, semua yang Anda ketik — kata sandi, token otentikasi, bahkan setiap surel yang Anda baca — mengalir utuh ke tangan peretas intelijen asing.
Inilah yang terjadi pada ribuan orang di seluruh dunia selama lebih dari setahun, tanpa mereka sadari. Dan yang lebih mencemaskan: pelakunya tidak perlu memasukkan perangkat lunak jahat apa pun ke komputer Anda.
Inilah kisah operasi mata-mata siber paling licik dalam beberapa tahun terakhir — yang baru saja diungkap oleh FBI dan 16 negara mitra.
Senjata Paling Mematikan: Tidak Ada Malware
Sejak Mei 2025, kelompok peretas APT28 (juga dikenal sebagai Fancy Bear atau Forest Blizzard) — yang terafiliasi dengan GRU Rusia, dinas intelijen militer negara tersebut — telah menjalankan kampanye pengintaian global dengan metode yang sangat sederhana namun brilian.
Mereka tidak meretas server perusahaan. Tidak mengirim surel phishing yang rumit. Tidak memasang backdoor canggih.
Mereka hanya membajak router rumahan dan kantor kecil yang sudah usang.
“Everyone is looking for some sophisticated malware… These guys didn’t use malware. They did this in an old-school, graybeard way that isn’t really sexy but it gets the job done.”
— Ryan English, Black Lotus Security Engineer
Tanpa satu baris kode jahat pun di perangkat korban, GRU berhasil memata-matai kementerian luar negeri, aparat penegak hukum, penyedia surel pihak ketiga, hingga infrastruktur kritis di puluhan negara.
Anatomi Serangan: DNS Hijacking dalam Tiga Lapis
Agar mudah dipahami, mari kita bedah operasi ini dari lapisan terbawah hingga ke permukaan.
Lapis 1: Fondasi — Celah di Router Lama
Setiap serangan dimulai dari router SOHO (Small Office/Home Office) yang rentan. Target utama: TP-Link WR841N dan berbagai model MikroTik tua.
Celakanya, ini bukanlah kerentanan zero-day yang misterius. GRU memanfaatkan CVE-2023-50224, sebuah celah pada layanan httpd router TP-Link yang memungkinkan penyerang tanpa otentikasi untuk mencuri kredensial melalui permintaan HTTP GET yang dikirimkan secara khusus. Dengan kata lain: GRU memanfaatkan pintu belakang yang sudah lama diketahui, tetapi tidak pernah diperbaiki oleh pemilik router.
Lapis 2: Otak Serangan — Membajak DNS
Setelah berhasil masuk, GRU tidak memasang malware. Mereka hanya mengubah satu pengaturan: DNS resolver.
DNS adalah “buku telepon” internet — ia menerjemahkan nama domain (seperti mail.kantor.com) menjadi alamat IP numerik. Dengan mengubah pengaturan DHCP/DNS pada router, GRU memastikan bahwa setiap perangkat yang terhubung ke jaringan tersebut (laptop, ponsel, printer) secara otomatis menggunakan server DNS milik peretas.
Sebagian besar lalu lintas tetap berjalan normal — agar tidak menimbulkan kecurigaan. Namun untuk domain-domain tertentu seperti Outlook Web Access atau Office 365, server DNS GRU mengembalikan alamat palsu yang mengarahkan pengguna ke situs tiruan.
Lapis 3: Eksekusi — Menyadap Lalu Lintas Terenkripsi
Di sinilah kecerdikan sesungguhnya. Ketika korban mengakses situs tiruan, GRU melakukan serangan Adversary-in-the-Middle (AitM). Mereka menempatkan diri di antara pengguna dan server asli — seperti penyadap di sambungan telepon.
Browser korban akan menampilkan peringatan sertifikat SSL/TLS (biasanya tanda bahaya merah). Namun banyak pengguna yang terbiasa mengabaikan peringatan semacam itu, apalagi jika muncul di jaringan kantor atau rumah sendiri. Begitu korban melewati peringatan tersebut, GRU bisa melihat semua lalu lintas dalam bentuk teks jelas — kata sandi, token otentikasi, isi surel, riwayat browsing, semuanya.
Yang paling mengkhawatirkan: Dengan mencuri token OAuth (token yang dihasilkan setelah login berhasil), GRU bisa mengakses akun korban tanpa perlu mencuri kata sandi atau melewati otentikasi dua faktor. Token ini sudah “mewakili” sesi login yang sah.
Skala Global: 18.000 Router, 120 Negara
Pada puncaknya di Desember 2025, Black Lotus Labs (divisi keamanan Lumen) mendeteksi lebih dari 18.000 alamat IP unik dari 120 negara yang berkomunikasi dengan infrastruktur GRU. Microsoft mengidentifikasi lebih dari 200 organisasi dan 5.000 perangkat konsumen yang terdampak.
Korban tersebar di berbagai wilayah: Afrika Utara, Amerika Tengah, Asia Tenggara, Eropa, serta 23 negara bagian di Amerika Serikat.
Menteri luar negeri, aparat penegak hukum, penyedia layanan IT, perusahaan hosting, hingga infrastruktur kritis — semuanya masuk dalam jaring pengintaian GRU. NCSC Inggris menilai bahwa operasi ini bersifat “opportunistic in nature”: GRU mengumpulkan lalu lintas dari sebanyak mungkin korban, lalu menyaringnya secara bertahap untuk menemukan target yang memiliki nilai intelijen tinggi.
Operasi Balasan: Ketika FBI Membalas dengan “Masquerade”
Pada 7 April 2026, FBI bersama Departemen Kehakiman AS mengumumkan Operation Masquerade, sebuah operasi pengadilan yang secara diam-diam mengirimkan perintah ke router-router yang terkompromi di Amerika Serikat.
Apa yang dilakukan FBI? Mereka mengirimkan perintah untuk:
- Mengumpulkan bukti dari router yang terinfeksi
- Mengembalikan pengaturan DNS ke nilai yang sah
- Memutus akses penyerang
Yang luar biasa: operasi ini tidak mengganggu fungsi normal router dan tidak mengumpulkan konten pengguna — hanya data teknis yang diperlukan untuk membersihkan perangkat.
FBI berhasil mengamankan router di lebih dari 23 negara bagian AS yang sebelumnya digunakan sebagai bagian dari jaringan mata-mata GRU.
Yang menarik, Black Lotus Labs mencatat bahwa ekspansi besar-besaran operasi GRU terjadi pada Agustus 2025 — hanya satu hari setelah NCSC Inggris merilis laporan tentang perangkat serupa. Ini menunjukkan kemampuan GRU untuk beradaptasi dengan sangat cepat terhadap pengawasan publik.
Mengapa Ini Penting: Strategi Intelijen di Balik Serangan
Apa yang bisa kita pelajari dari operasi ini?
1. Serangan tidak perlu rumit untuk menjadi efektif. GRU tidak menggunakan zero-day atau malware canggih. Mereka memanfaatkan kerentanan yang sudah lama diketahui dan kelalaian pengguna.
2. Router adalah titik buta keamanan. Banyak organisasi menghabiskan miliaran untuk melindungi server dan workstation, tetapi melupakan perangkat tepi (edge devices) yang menjadi gerbang masuk ke jaringan mereka.
3. Metrik keberhasilan intelijen bukan jumlah malware, tetapi data yang dikumpulkan. Dengan satu perubahan DNS, GRU bisa mengakses lalu lintas dari semua perangkat dalam jaringan — tanpa perlu meretas masing-masing perangkat.
4. Serangan “tanpa malware” lebih sulit dideteksi. Karena tidak ada kode jahat yang berjalan di perangkat korban, antivirus tradisional tidak akan pernah memperingatkan.
5. Kolaborasi global adalah satu-satunya pertahanan yang efektif. Operasi Masquerade melibatkan FBI, NSA, NCSC Inggris, Black Lotus Labs, Microsoft, dan 14 negara mitra lainnya. Tidak ada satu negara pun yang bisa menghadapi ancaman ini sendirian.
Yang Harus Anda Lakukan Sekarang
Jika Anda memiliki router rumahan atau kantor kecil (terutama TP-Link WR841N atau MikroTik lama):
- Periksa versi firmware. Jika router sudah end-of-support (tidak lagi menerima pembaruan), ganti dengan yang baru.
- Perbarui firmware ke versi terbaru jika tersedia.
- Ubah nama pengguna dan kata sandi default router.
- Nonaktifkan manajemen jarak jauh dari internet (remote management via WAN).
- Periksa pengaturan DNS pada router — pastikan mengarah ke resolver yang Anda kenal (seperti 8.8.8.8, 1.1.1.1, atau milik ISP Anda).
- Jangan abaikan peringatan sertifikat di browser. Jika muncul peringatan bahwa sertifikat tidak valid, jangan lanjutkan sebelum memverifikasi.
Untuk organisasi:
- Audit semua perangkat edge yang digunakan untuk akses kerja jarak jauh.
- Terapkan kebijakan zero trust — jangan percaya lalu lintas hanya karena berasal dari jaringan internal.
- Edukasi karyawan tentang bahaya DNS hijacking dan peringatan sertifikat.
- Pertimbangkan insentif bagi karyawan untuk meningkatkan perangkat pribadi yang sudah usang.
Jika Anda Curiga Router Anda Dikompromikan
Laporkan ke:
- FBI IC3 (ic3.gov) dengan menyertakan detail tentang router Anda (tipe perangkat, konfigurasi DHCP/DNS)
- Atau hubungi kantor FBI setempat
Pelajaran dari “Serangan Tanpa Senjata”
Kampanye GRU ini adalah pengingat bahwa dalam dunia keamanan siber, kesederhanaan sering kali lebih mematikan daripada kompleksitas. Tidak ada malware. Tidak ada zero-day. Hanya eksploitasi celah lama, kelalaian manusia, dan satu perubahan pada pengaturan DNS.
“For nation-state actors like Forest Blizzard, DNS hijacking enables persistent, passive visibility and reconnaissance at scale. By compromising edge devices that are upstream of larger targets, threat actors can take advantage of less closely monitored or managed assets to pivot into enterprise environments.”
— Microsoft Threat Intelligence
Router Anda mungkin tampak seperti perangkat sepele. Tapi bagi GRU, itu adalah kunci untuk membuka pintu belakang ke seluruh dunia Anda. Jangan biarkan rumah atau kantor Anda menjadi bagian dari jaringan mata-mata global berikutnya.
Periksa router Anda sekarang.
