Kelompok Peretas UNC1549 Menggunakan Iklan Lowongan Kerja Fiktif di LinkedIn sebagai Taktik Utama untuk Menyusup ke Sistem dan Meretas Perusahaan.

Kelompok Peretas UNC1549 Menggunakan Iklan Lowongan Kerja Fiktif di LinkedIn sebagai Taktik Utama untuk Menyusup ke Sistem dan Meretas Perusahaan.

Sebuah kampanye spionase siber terbaru dari kelompok yang diyakini berafiliasi dengan Iran, disebut UNC1549 atau Subtle Snail, kembali menyoroti kerentanan perusahaan telekomunikasi sebagai target utama. Kelompok ini dilaporkan berhasil menembus setidaknya 34 perangkat di 11 organisasi secara global termasuk di AS, Kanada, dan Eropa, dengan menggunakan metode social engineering yang sangat efektif, lowongan kerja palsu di LinkedIn.

• UNC1549: Aktor Spionase Iran dengan Modus Operandi Cerdik

UNC1549 adalah nama yang diberikan oleh peneliti keamanan kepada kelompok hacker ini, yang diduga memiliki kaitan dengan kepentingan Iran, berpotensi dengan Korps Garda Revolusi Islam (IRGC). Aktivitas mereka telah diamati sejak Juni 2022.

• Taktik Utama: Menyamar sebagai HR di LinkedIn

Keberhasilan kampanye ini terletak pada penyamaran yang halus dan kredibel di platform profesional. Tahapan serangannya dirancang untuk memanfaatkan kepercayaan korban:

1. 1. Pemetaan Target: Pelaku mencari dan mengidentifikasi karyawan dengan akses strategis (seperti admin IT, developer, atau peneliti) melalui LinkedIn.
   2. Penyamaran dan Umpan: Mereka membuat profil perekrut (HR) palsu dari perusahaan ternama, lalu menghubungi target dengan tawaran pekerjaan yang menggiurkan.
   3. Memperkuat Kredibilitas: Komunikasi dilanjutkan melalui email palsu yang terlihat resmi, sering kali untuk meminta verifikasi atau dokumen, mengarahkan korban ke situs web tiruan yang meniru domain perusahaan nyata.
   4. Infeksi Malware: Korban kemudian diminta mengunduh arsip ZIP yang berisi backdoor utama mereka, MINIBIKE. Malware ini dieksekusi menggunakan teknik DLL side-loading, yaitu memanfaatkan proses pemuatan library Windows yang sah, sehingga sulit dideteksi oleh sistem keamanan awal.

• MINIBIKE: Malware Multifungsi Pencuri Data

Setelah berhasil masuk, backdoor MINIBIKE bekerja sebagai alat spionase modular dengan kemampuan luas:

1. 1. Pencurian Kredensial: Mampu melakukan keylogging (merekam ketikan), mengambil data clipboard, dan mencuri kata sandi yang tersimpan di browser populer (Chrome, Edge) serta Outlook.
   2. Pengintaian: Mengumpulkan informasi sistem, mengambil screenshot, dan dapat memuat modul berbahaya tambahan untuk fungsi lebih lanjut.
   3. Menyembunyikan Jejak: Komunikasi ke server C2 (command-and-control) disamarkan melalui layanan Cloud (Azure) atau VPS, membuat lalu lintasnya terlihat seperti koneksi bisnis yang sah dan lolos dari radar deteksi.

• Telekomunikasi sebagai Target Utama

Sektor telekomunikasi (operator seluler, penyedia infrastruktur) adalah target bernilai tinggi karena merupakan tulang punggung konektivitas suatu negara. Akses ke jaringan telekomunikasi memungkinkan UNC1549 untuk:

1. 1. Memantau lalu lintas komunikasi secara massal.
   2. Mencuri konfigurasi jaringan dan kredensial manajemen.
   3. Menyisipkan akses jangka panjang untuk operasi spionase skala luas atau sabotase di masa depan.

Kompromi bahkan pada beberapa perangkat saja di sektor ini dapat menimbulkan konsekuensi serius terhadap keamanan nasional dan privasi jutaan pengguna.

• Kelompok Serupa dan Langkah Mitigasi

UNC1549 bukan satu-satunya ancaman dari Iran. Kelompok lain seperti MuddyWater juga aktif menargetkan sektor penting menggunakan malware khusus. Selain itu, kelompok Nimbus Manticore menunjukkan taktik rekrutmen palsu serupa, mengindikasikan bahwa beberapa aktor mungkin berbagi alat atau menggunakan penyedia toolkit yang sama.

Untuk melawan ancaman yang memadukan rekayasa sosial dan teknik teknis canggih ini, perusahaan, terutama di sektor telekomunikasi, harus mengambil langkah-langkah multi-layered:

1. 1. Edukasi HR: Latih staf perekrutan untuk memverifikasi secara ketat setiap profil kandidat dan domain pengirim, serta memberlakukan autentikasi dua faktor.
   2. Kontrol File: Terapkan kebijakan ketat untuk menerima file dari sumber luar; gunakan sandboxing untuk menguji file ZIP/EXE sebelum dieksekusi.
   3. Pengamanan Teknis: Konfigurasi sistem EDR untuk memantau perilaku proses dan memblokir pemuatan DLL yang tidak biasa (side-loading).
   4. Pembatasan Akses: Terapkan segmentasi jaringan untuk membatasi pergerakan hacker jika ada endpoint yang berhasil ditembus.

Intinya, keamanan bukan hanya tugas tim IT. Seluruh organisasi harus waspada, karena serangan modern sering dimulai dari pesan yang terlihat tidak berbahaya, seperti tawaran pekerjaan menarik di LinkedIn

Sumber :

https://thehackernews.com/2025/09/unc1549-hacks-34-devices-in-11-telecom.html

https://csirt.or.id/berita/lowongan-palsu-linkedin-senjata-retas