Pada 8 Oktober 2026, FBI bersama CISA, NSA, dan mitra di Inggris, Australia, Kanada, Jepang, Selandia Baru, serta Spanyol merilis advisory bersama AA26-281A. Isinya: aktor siber terkait pemerintah Tiongkok yang difasilitasi perusahaan komersial bernama Integrity Technology Group (Integrity Tech) disebut memindai, membobol, dan mencuri email dari organisasi di berbagai benua, termasuk Asia Tenggara. Yang paling menarik bagi tim keamanan di Indonesia bukan kecanggihan eksploitasinya, melainkan usia celah yang dipakai: sebagian CVE-nya berasal dari tahun 2014 hingga 2016.
Artikel ini membedah isi advisory, mengapa kerentanan lama tetap efektif, bagaimana sudut pandang cyber intelligence dapat dipakai untuk mengubah laporan semacam ini menjadi tindakan nyata, serta langkah praktis untuk organisasi Indonesia. Semua fakta teknis di bawah ini bersumber dari advisory dan pemberitaan yang dirujuk di akhir artikel.
Siapa Flax Typhoon dan Apa Peran Integrity Tech?
Flax Typhoon juga dilacak dengan nama Ethereal Panda dan Red Juliett. Menurut advisory, aktivitas ini dimungkinkan oleh Integrity Tech, perusahaan berorientasi profit di Tiongkok yang menurut otoritas AS memperoleh atau membangun perangkat ofensif, menyediakan infrastruktur, dan ikut mengompromikan jaringan korban. Departemen Keuangan AS menjatuhkan sanksi kepada perusahaan ini pada Januari 2025; Inggris menyusul pada 2025 dan Uni Eropa pada 2026. Pada September 2024, Departemen Kehakiman AS juga pernah membongkar botnet berbasis Mirai milik perusahaan ini (dilacak Lumen sebagai Raptor Train) yang melibatkan lebih dari 260.000 router dan perangkat IoT.
Advisory memberi catatan penting: tidak semua aktivitas aktor tersebut pasti terkait Integrity Tech. Ini pengingat bahwa atribusi dalam cyber intelligence bersifat berlapis dan probabilistik, bukan label tunggal.
Delapan CVE yang Dieksploitasi
Advisory mencantumkan delapan kerentanan. Lima di antaranya baru ditambahkan ke katalog CISA Known Exploited Vulnerabilities (KEV), dengan tenggat bagi lembaga federal AS pada 11 Oktober 2026:
- CVE-2015-3306 (ProFTPD, CVSS 10,0): kontrol akses yang salah memungkinkan baca/tulis berkas jarak jauh lewat perintah
site cpfrdansite cpto. - CVE-2021-3199 (ONLYOFFICE Docs, CVSS 9,8): path traversal pada parameter unggah gambar saat JWT dipakai, berpotensi menjadi eksekusi kode jarak jauh.
- CVE-2016-3081 (Apache Struts, CVSS 8,1): injeksi perintah lewat prefiks
method:bila Dynamic Method Invocation aktif. - CVE-2023-22894 (Strapi, CVSS 7,2): penyimpanan informasi sensitif tanpa enkripsi yang bisa ditelusuri lewat filter kueri oleh pengguna dengan akses panel admin.
- CVE-2015-5477 (ISC BIND, CVSS 7,5): assertion yang dapat dicapai lewat kueri TKEY sehingga memicu penolakan layanan.
Tiga lainnya sudah lebih dulu ada di KEV: CVE-2014-6278 (GNU Bash, "Shellshock"), CVE-2019-11510 (Ivanti Pulse Connect Secure), dan CVE-2021-22205 (GitLab CE/EE).
Anatomi Operasi: Dari Pemindaian ke Pencurian Email
Advisory memetakan perilaku aktor ke MITRE ATT&CK. Ringkasnya, rantai serangannya sebagai berikut.
1. Pengintaian massal
Aktor memakai pemindai umum seperti Fscan, Nmap, masscan, dirsearch, dan WPScan, dengan fokus pada port 21, 22, 53, 80, 443, dan 1080. Penyitaan domain oleh FBI menyoroti MicroScan, platform berbasis Python dengan lebih dari 1.300 skrip uji penetrasi yang digunakan bersama botnet untuk memindai target. Artinya, pemindaian bukan upaya selektif; ia berjalan luas dan otomatis, lalu korban yang rentan dipilih belakangan.
2. Akses awal dan persistensi
Selain mengeksploitasi celah di atas, advisory menyebut payload XSS yang ditanam di situs pihak ketiga untuk memanen kredensial, serta password spraying terhadap server Exchange dengan alat seperti EBurst. Untuk bertahan di jaringan, aktor memasang klien SoftEther VPN yang tersambung kembali otomatis saat sistem menyala, dan menyamarkan berkas sebagai biner Windows sah seperti conhost.exe, dllhost.exe, dan DiagTrack.exe.
3. Kredensial dan pencurian email
Aktor melakukan DCSync untuk mengambil kredensial Active Directory, lalu memakai bot PHP yang menarik email lewat API Exchange Web Services (EWS), memampatkan dan kadang mengenkripsinya (RC4 atau AES-128-CBC), menyiapkannya di staging, dan mengunggahnya otomatis ke server jarak jauh. Advisory juga menyebut utilitas Linux office-cli untuk eksfiltrasi email Microsoft 365. Tujuan utamanya, menurut advisory, adalah email dan kredensial AD, bukan perusakan langsung.
4. Penempatan untuk jangka panjang
Pemberitaan menyebut aktor berupaya menempatkan diri di jaringan infrastruktur kritis, termasuk sistem teknologi operasional (OT), agar dapat mengganggu fungsi di kemudian hari. Sektor yang disebut mencakup layanan pemerintah, manufaktur kritis, kesehatan, teknologi informasi, penegakan hukum, dan pendidikan. FBI tidak mengonfirmasi apakah target-target yang dipindai, seperti perusahaan listrik atau bandara tertentu, benar-benar berhasil ditembus.
Pelajaran Utama: Mengapa CVE Lama Masih Ampuh?
Ada tiga alasan yang konsisten dengan temuan advisory.
- Aset yang terlupakan. ProFTPD, Struts, atau BIND versi lama sering berjalan di server warisan yang tidak masuk inventaris dan tidak lagi ditambal vendor.
- Skala mengalahkan kecanggihan. Pemindai dengan ribuan skrip membuat biaya mencoba CVE tua nyaris nol. Cukup satu server yang lupa ditambal.
- Prioritas patch berbasis skor baru. Banyak tim memprioritaskan CVE terbaru berskor tinggi, sehingga CVE lama dengan eksploitasi aktif terlewat. Itulah alasan katalog KEV lebih berguna daripada CVSS saja.
Kerentanan yang dieksploitasi aktif, berapa pun usianya, harus diperlakukan lebih mendesak daripada kerentanan baru yang belum terbukti dieksploitasi.
Membaca Advisory dengan Kacamata Cyber Intelligence
Advisory seperti AA26-281A adalah bahan intelijen taktis yang siap diolah. Berikut alur kerja yang bisa diterapkan tim keamanan Anda dalam beberapa hari, bukan beberapa bulan.
Langkah 1: Cocokkan CVE dengan inventaris aset
Cari apakah ada ProFTPD, Struts, BIND, ONLYOFFICE Document Server, Strapi, GitLab, Pulse Secure/Ivanti Connect Secure, atau Bash yang rentan di lingkungan Anda, termasuk yang menghadap internet maupun yang di jaringan internal. Jangan lupa layanan yang dijalankan vendor atau pihak ketiga atas nama organisasi.
Langkah 2: Terapkan indikator dengan hati-hati
Advisory menyertakan IOC dalam bundel STIX dan menyarankan pemeriksaan indikator lama terlebih dahulu. Karena infrastruktur seperti domain C2 dan IP cepat berganti, anggap IOC sebagai petunjuk perburuan, bukan bukti tunggal. Pemberitaan juga mencatat FBI menyita tujuh domain yang terkait MicroScan, FishHub, dan SoftEther VPN; telusuri apakah log DNS dan proxy Anda pernah berkomunikasi dengan domain tersebut.
Langkah 3: Berburu perilaku, bukan hanya indikator
Beberapa hipotesis perburuan yang diturunkan dari TTP di atas:
- Klien SoftEther VPN atau layanan VPN tak dikenal yang otomatis tersambung saat boot.
- Proses bernama
conhost.exe,dllhost.exe, atauDiagTrack.exeyang berjalan dari direktori tidak lazim. - Lonjakan permintaan EWS dari satu akun layanan atau host tunggal, serta lonjakan autentikasi gagal ke Exchange (indikasi password spraying).
- Replikasi direktori (DCSync) yang berasal dari host selain domain controller.
- Berkas arsip besar yang dibuat lalu diunggah ke tujuan eksternal secara terjadwal.
Langkah 4: Contoh pemeriksaan cepat
Skrip sederhana berikut membantu menemukan versi ProFTPD yang menjawab banner FTP di rentang alamat milik Anda sendiri. Jalankan hanya pada aset yang Anda miliki atau berwenang untuk uji.
# Daftar host milik organisasi di hosts.txt
# Hanya baca banner FTP (port 21); tidak mengeksploitasi apa pun
while read -r host; do
banner=$(timeout 5 bash -c "exec 3<>/dev/tcp/$host/21; head -n1 <&3" 2>/dev/null)
case "$banner" in
*ProFTPD*) echo "$host => $banner" ;;
esac
done < hosts.txtHasilnya adalah daftar kandidat yang kemudian perlu diverifikasi versinya terhadap catatan vendor, dan dimatikan bila layanan tidak lagi dibutuhkan.
Rekomendasi Mitigasi dari Advisory
Advisory merekomendasikan enam langkah yang relevan bagi organisasi Indonesia:
- Wajibkan MFA, terutama untuk webmail, VPN, dan akun sistem kritis.
- Tambal kedelapan CVE dan ganti produk yang sudah end-of-life.
- Sanitasi input web terhadap XSS, dan tinjau log untuk jejak traversal, injeksi perintah, dan enumerasi.
- Matikan layanan dan port yang tidak dipakai, serta minimalkan informasi pada halaman login dan banner.
- Ganti kata sandi bawaan, audit akun berprivilese, dan terapkan prinsip hak akses minimum.
- Segmentasi jaringan agar perangkat yang terkompromi tidak menjangkau sumber daya sensitif unit lain.
Tambahan dari sisi praktik: untuk pencurian email, batasi akses EWS hanya untuk aplikasi yang memerlukan, aktifkan log audit mailbox, dan pantau akun layanan yang jarang dipakai.
Konteks Indonesia: Hukum dan Kesiapan
Advisory menyebut korban di Asia Tenggara, sehingga organisasi Indonesia sebaiknya tidak menganggap ini sebagai isu jauh. Kebocoran email sering berarti kebocoran data pribadi. Di bawah UU Pelindungan Data Pribadi (UU No. 27 Tahun 2022), pengendali data wajib memberi pemberitahuan tertulis kepada subjek data dan lembaga paling lambat 3 x 24 jam bila terjadi kegagalan pelindungan data pribadi. Sementara UU ITE (UU No. 1 Tahun 2024 sebagai perubahan kedua) mengatur akses ilegal ke sistem elektronik. Bagi penyelenggara sistem elektronik dan sektor infrastruktur informasi vital, insiden sebaiknya juga dikoordinasikan dengan BSSN sesuai ketentuan sektor masing-masing.
Praktisnya, siapkan rencana respons insiden yang menjawab tiga pertanyaan sebelum insiden terjadi: siapa yang memutuskan isolasi sistem, bagaimana bukti forensik diamankan (log, citra memori, salinan mailbox), dan siapa yang menyusun pemberitahuan kepada regulator dan subjek data.
Penutup
Kasus Flax Typhoon dan Integrity Tech menunjukkan bahwa ancaman paling realistis sering kali bukan eksploit baru yang spektakuler, melainkan celah lama yang tak terpantau. Mulailah dari yang membosankan namun efektif: inventaris aset yang akurat, patch berbasis KEV, MFA yang konsisten, dan perburuan ancaman yang digerakkan intelijen. Jika organisasi Anda membutuhkan bantuan menilai paparan terhadap CVE ini, menyusun hipotesis threat hunting, atau menguji kesiapan respons insiden, tim Siberindo siap membantu.
Sumber
- Advisory bersama AA26-281A (FBI, CISA, NSA, dan mitra internasional), 8 Oktober 2026, sebagaimana diringkas SafeBreach/Security Boulevard.
- The Hacker News, "Flax Typhoon Exploits Five Flaws as CISA Sets October 11 Deadline for Federal Agencies", 9 Oktober 2026.
- BleepingComputer, "FBI disrupts Chinese hacking tools used to breach critical infrastructure", 8 Oktober 2026.
