Kaspersky Ungkap GoSerpent, Malware Baru Incar Instansi Negara

Ancaman spionase siber terhadap lembaga pemerintah di kawasan Asia Tenggara kembali meningkat. Para peneliti keamanan siber mengungkap keberadaan malware baru bernama GoSerpent, yang dirancang khusus untuk menyusup ke jaringan korban, memperoleh akses jangka panjang, mengumpulkan data sensitif, hingga mencuri informasi penting secara diam-diam.

Temuan tersebut diungkap oleh perusahaan keamanan siber Kaspersky, yang mulai melacak aktivitas malware ini pada Februari 2026. Berdasarkan hasil investigasi, GoSerpent telah digunakan dalam berbagai serangan sejak akhir 2025 dengan sasaran utama instansi pemerintah dan kantor diplomatik di Asia Tenggara.

Berbeda dengan malware biasa yang hanya berfungsi mencuri data atau merusak sistem, GoSerpent dirancang sebagai pintu masuk (backdoor) yang memungkinkan pelaku mempertahankan akses ke jaringan korban dalam waktu lama. Selama berada di dalam sistem, malware ini mengumpulkan informasi secara bertahap sebelum akhirnya mengirimkan seluruh data kepada pelaku serangan.

Peneliti keamanan Kaspersky, Noushin Shabab, menjelaskan bahwa kelompok peretas di balik operasi ini terus mengembangkan kemampuan malware mereka. Pemantauan aktivitas menunjukkan bahwa pada Mei 2026 para pelaku kembali melancarkan serangan menggunakan seperangkat alat baru yang jauh lebih canggih dibandingkan versi sebelumnya.

Selain menggunakan varian terbaru Stowaway RAT dan alat proxy yang memiliki kemiripan dengan GoSerpent, mereka juga menambahkan malware tersembunyi yang bertugas mencuri seluruh data sensitif yang telah dikumpulkan selama beberapa bulan melalui jaringan berbagi file (network share).

Dirancang untuk Mengumpulkan Intelijen

Menurut Kaspersky, tujuan utama kampanye ini bukan sekadar menginfeksi komputer korban, melainkan melakukan operasi pengumpulan intelijen dalam jangka panjang.

GoSerpent terlebih dahulu menginventarisasi berbagai dokumen penting, kemudian menyimpannya di lokasi tertentu sebelum seluruh data dikirim keluar dari jaringan korban. Strategi ini membuat aktivitas malware lebih sulit dideteksi karena proses pencurian data tidak dilakukan secara langsung setelah infeksi terjadi.

Untuk menjalankan aksinya, GoSerpent memanfaatkan komponen tambahan bernama ThumbcacheService, yaitu malware yang secara khusus bertugas mengumpulkan file-file penting dari komputer maupun server yang berhasil disusupi.

Selain mengumpulkan dokumen, malware ini juga menjalankan teknik credential dumping, yaitu mencuri informasi login dari sistem korban. Kredensial tersebut kemudian digunakan penyerang untuk memperluas akses ke jaringan internal tanpa harus mengeksploitasi celah keamanan tambahan.

Dengan menguasai akun-akun pengguna yang sah, pelaku dapat berpindah dari satu komputer ke komputer lainnya menggunakan jalur yang terlihat normal sehingga aktivitas mereka semakin sulit dikenali oleh administrator jaringan.

Malware Lama dengan Kemampuan Baru

Meski baru terungkap pada 2026, Kaspersky menyebut akar GoSerpent sebenarnya telah digunakan sejak 2021. Malware ini dibangun menggunakan bahasa pemrograman Go (Golang) dan terus mengalami penyempurnaan dari waktu ke waktu.

Varian terbaru memiliki mekanisme komunikasi yang jauh lebih aman. Saat dijalankan, GoSerpent menerima parameter yang telah dienkripsi dan dikodekan menggunakan Base64. Informasi tersebut berisi alamat server command-and-control (C2) beserta kata sandi komunikasi.

Setelah berhasil mendekripsi informasi tersebut, malware membangun koneksi terenkripsi dengan server C2. Seluruh komunikasi diamankan menggunakan hash SHA-256 sebagai kunci enkripsi sehingga lalu lintas data menjadi lebih sulit dianalisis maupun dipantau oleh sistem keamanan.

Mampu Mengendalikan Komputer Korban dari Jarak Jauh

Kemampuan GoSerpent tidak hanya sebatas mengumpulkan data. Malware ini juga menyediakan berbagai fungsi yang memungkinkan pelaku mengendalikan komputer korban secara penuh.

GoSerpent dapat melaporkan status infeksi kepada server penyerang, membuka dan menutup port jaringan, menghubungkan komputer korban ke server lain, menjalankan command prompt dari jarak jauh, mengunggah maupun mengunduh file, hingga mengaktifkan proxy SOCKS5.

Fitur proxy SOCKS5 menjadi salah satu kemampuan yang paling berbahaya. Dengan fitur tersebut, komputer korban dapat dijadikan sebagai perantara lalu lintas internet sehingga penyerang mampu mengakses jaringan lain tanpa memperlihatkan alamat IP asli mereka.

Teknik ini juga memungkinkan pelaku berpindah dari satu sistem ke sistem lainnya secara diam-diam sambil menyembunyikan jejak aktivitasnya.

Selain itu, GoSerpent dapat menginstal malware tambahan sesuai kebutuhan operasi. Beberapa di antaranya adalah Mimikatz untuk mencuri kredensial Windows, QuarksDumpLocalHash untuk mengambil hash kata sandi akun lokal, serta ThumbcacheService yang bertugas mengumpulkan file penting.

Menggunakan Berbagai Malware Pendukung

Investigasi Kaspersky menunjukkan bahwa kampanye ini tidak hanya mengandalkan satu malware. Para pelaku menggunakan sejumlah alat berbeda yang saling melengkapi.

Salah satunya adalah McMx RAT, sebuah malware berbasis Go yang memiliki fungsi sebagai remote access trojan sekaligus proxy ringan. Walaupun lebih sederhana dibandingkan GoSerpent, McMx RAT tetap mampu melakukan transfer file, remote shell, port forwarding, serta menjalankan proxy SOCKS5.

Sementara itu, Mimikatz dimanfaatkan untuk mengambil kredensial yang tersimpan di memori proses Local Security Authority Subsystem Service (LSASS) pada Windows. Informasi login tersebut kemudian digunakan untuk memperluas akses ke sistem lain di dalam jaringan organisasi.

Sedangkan QuarksDumpLocalHash bertugas mengekstraksi hash password dari Security Account Manager (SAM) Windows sehingga penyerang dapat melakukan berbagai teknik pemecahan kata sandi secara offline.

Tahap Akhir, Data Dicuri Menggunakan Malware Baru

Setelah berbulan-bulan mengumpulkan informasi tanpa terdeteksi, kelompok peretas kembali ke jaringan korban pada Mei 2026 untuk melancarkan tahap akhir operasi. Mereka memasang malware baru berupa Stowaway, TmcLoader, dan TmcPayload.

Stowaway merupakan alat akses jarak jauh yang menyediakan berbagai fitur seperti proxy SOCKS5, port forwarding, reverse tunneling, transfer file, remote shell, hingga SSH tunneling. Kemampuan tersebut memudahkan penyerang mempertahankan akses meskipun sebagian jalur komunikasi telah ditutup oleh administrator.

Selanjutnya, TmcLoader bertugas memuat malware terenkripsi bernama TmcPayload.

Komponen terakhir inilah yang menjalankan proses eksfiltrasi data, yaitu mengirim seluruh dokumen sensitif yang telah dikumpulkan selama berbulan-bulan ke server milik pelaku.

Menurut Kaspersky, rangkaian serangan mulai dari ThumbcacheService hingga TmcLoader dan TmcPayload menunjukkan bahwa operasi ini telah direncanakan secara matang. Setiap malware memiliki fungsi berbeda namun saling melengkapi sehingga proses pencurian data berlangsung lebih efisien dan sulit dideteksi.

Diduga Memiliki Kaitan dengan TetrisPhantom

Walaupun belum dapat memastikan siapa pelaku sebenarnya, Kaspersky menemukan sejumlah kemiripan antara kampanye GoSerpent dengan kelompok ancaman TetrisPhantom. Kesamaan tersebut terlihat dari pola pemilihan target, teknik yang digunakan, hingga kemampuan malware dalam mempertahankan akses ke jaringan korban.

TetrisPhantom sendiri pertama kali diungkap Kaspersky pada Oktober 2023 setelah menyerang berbagai instansi pemerintah di kawasan Asia-Pasifik.

Saat itu, kelompok tersebut memanfaatkan USB drive yang dilengkapi enkripsi perangkat keras sebagai media untuk memindahkan data hasil pencurian dari satu komputer ke komputer lainnya. Teknik tersebut memungkinkan pelaku melakukan pencurian data bahkan pada jaringan yang tidak terhubung langsung ke internet.

Kemiripan metode operasi membuat para peneliti menduga kedua kampanye memiliki hubungan, meskipun atribusi resmi terhadap pelaku masih memerlukan investigasi lebih lanjut.

Kampanye Spionase Lain Juga Terungkap

Pengungkapan GoSerpent juga bertepatan dengan laporan terbaru dari Cyderes Howler Cell mengenai operasi mata-mata siber lain yang dilakukan kelompok DoNot Team. Kelompok ini menargetkan militer serta lembaga pertahanan Bangladesh melalui email spear-phishing yang membawa dokumen RTF berbahaya.

Dokumen tersebut menggunakan teknik remote template injection untuk mengambil makro VBA dari server penyerang. Menariknya, server menerapkan mekanisme geofencing, sehingga hanya pengguna yang berada di wilayah target yang menerima malware, sedangkan pengguna lain memperoleh dokumen yang tampak normal.

Setelah makro dijalankan, shellcode disuntikkan ke memori menggunakan teknik callback API dan melalui beberapa tahap yang dienkripsi menggunakan metode XOR. Pada akhirnya, malware memasang file DLL bernama ejtest.dll yang mampu mengunduh berbagai payload tambahan sesuai kebutuhan operasi.

Cyderes mengaitkan kampanye tersebut dengan DoNot Team berdasarkan kemiripan jalur URI server command-and-control, penggunaan material kunci AES yang sama, teknik injeksi shellcode berbasis VBA, serta mekanisme geofencing yang identik.

Temuan GoSerpent menunjukkan bahwa operasi spionase siber kini berkembang menjadi jauh lebih kompleks dibandingkan serangan malware konvensional. Para pelaku tidak lagi hanya berfokus menyusup ke sistem, tetapi juga membangun akses jangka panjang, mengumpulkan informasi secara bertahap, lalu mencuri data menggunakan berbagai malware yang saling terintegrasi.

Bagi instansi pemerintah, lembaga diplomatik, maupun organisasi yang mengelola informasi strategis, perkembangan ini menjadi pengingat penting bahwa pertahanan siber harus terus diperkuat. Penerapan sistem deteksi ancaman, pemantauan aktivitas jaringan secara berkelanjutan, pembaruan keamanan, serta edukasi terhadap pengguna menjadi langkah penting untuk mengurangi risiko menjadi korban operasi mata-mata siber yang semakin canggih.