Badan intelijen militer Rusia, GRU, telah sudah lama memiliki reputasi sebagai salah satu pelaku sabotase, pembunuhan, dan kejahatan paling agresif di dunia perang dunia mayadengan para peretas yang bangga bekerja di bawah bendera yang sama dengan operator pasukan khusus yang melakukan kekerasan. Namun, satu kelompok baru dalam badan tersebut menunjukkan bagaimana GRU mungkin menggabungkan taktik fisik dan digital lebih erat daripada sebelumnya: tim peretas, yang muncul dari unit yang sama yang bertanggung jawab atas taktik fisik Rusia yang paling terkenal, termasuk peracunan, percobaan kudeta, dan pemboman di dalam negara-negara Barat.
Sekelompok besar badan pemerintah Barat dari negara-negara termasuk AS, Inggris, Ukraina, Australia, Kanada, dan lima negara Eropa pada hari Kamis mengungkapkan bahwa kelompok peretas yang dikenal sebagai Cadet Blizzard, Bleeding Bear, atau Greyscale—yang telah meluncurkan beberapa operasi peretasan yang menargetkan Ukraina, AS, dan negara-negara lain di Eropa, Asia, dan Amerika Latin—sebenarnya adalah bagian dari Unit 29155 GRU, divisi badan mata-mata yang dikenal karena tindakan sabotase fisik yang berani dan pembunuhan bermotif politik. Unit itu telah dikaitkan di masa lalu, misalnya, dengan upaya peracunan pembelot GRU Sergei Skripal dengan agen saraf Novichok di Inggris, yang menyebabkan kematian dua orang pengamat, serta rencana pembunuhan lainnya di Bulgaria, ledakan depot senjata di Republik Ceko, dan upaya kudeta yang gagal di Montenegro.
Kini bagian GRU yang terkenal itu tampaknya telah mengembangkan tim operator perang sibernya sendiri yang aktif—berbeda dari tim operator perang siber yang ada di unit GRU lainnya seperti Unit 26165, yang dikenal luas sebagai Beruang Mewah atau APT28dan Unit 74455, tim yang berfokus pada serangan siber yang dikenal sebagai cacing pasirSejak 2022, para peretas yang baru direkrut Unit 29155 GRU telah memimpin operasi siber, termasuk dengan malware penghapus data yang dikenal sebagai Whispergate, yang menyerang sedikitnya dua lusin organisasi Ukraina menjelang invasi Rusia pada Februari 2022, serta perusakan situs web pemerintah Ukraina dan pencurian serta kebocoran informasi dari situs web tersebut dengan menggunakan nama samaran “hacktivist” yang dikenal sebagai Free Civilian.
Identifikasi Kadet Blizzard sebagai bagian dari Unit 29155 GRU menunjukkan bagaimana badan tersebut semakin mengaburkan batas antara taktik fisik dan siber dalam pendekatannya terhadap peperangan hibrida, menurut salah satu dari beberapa pejabat badan intelijen Barat yang diwawancarai WIRED dengan syarat anonim karena mereka tidak berwenang untuk berbicara menggunakan nama mereka. “Pasukan khusus biasanya tidak membentuk unit siber yang mencerminkan aktivitas fisik mereka,” kata seorang pejabat. “Ini adalah unit operasi yang sangat fisik, bertugas melakukan tindakan yang lebih mengerikan yang melibatkan GRU. Saya merasa sangat terkejut bahwa unit yang melakukan hal-hal yang sangat langsung ini sekarang melakukan hal-hal siber dari balik papan ketik.”
Selain pernyataan publik bersama yang mengungkap hubungan Cadet Blizzard dengan unit 29155 GRU, Badan Keamanan Siber dan Keamanan Infrastruktur AS menerbitkan sebuah nasihat yang merinci metode peretasan kelompok tersebut dan cara untuk menemukan dan mengatasinya. Departemen Kehakiman AS mendakwa lima anggota kelompok tersebut berdasarkan namasemuanya in absentia, sebagai tambahan terhadap orang keenam yang sebelumnya telah didakwa pada awal musim panas tanpa menyebutkan secara publik mengenai Unit 29155.
“Kampanye WhisperGate GRU, termasuk menargetkan infrastruktur penting Ukraina dan sistem pemerintah yang tidak memiliki nilai militer, merupakan lambang ketidakpedulian Rusia yang mengerikan terhadap warga sipil yang tidak bersalah saat melancarkan invasi yang tidak adil,” tulis asisten jaksa agung Departemen Kehakiman AS Matthew G. Olsen dalam sebuah pernyataan. “Dakwaan hari ini menggarisbawahi bahwa Departemen Kehakiman akan menggunakan setiap alat yang tersedia untuk menghentikan aktivitas siber jahat semacam ini dan meminta pertanggungjawaban para pelaku atas penargetan yang tidak pandang bulu dan merusak terhadap Amerika Serikat dan sekutu-sekutu kami.”
Departemen Luar Negeri AS juga diposting hadiah $10 juta untuk informasi yang mengarah pada identifikasi atau lokasi anggota kelompok, beserta foto-foto mereka, ke situs web Rewards for Justice.
Poster Departemen Luar Negeri yang menawarkan $10 juta untuk informasi yang mengarah pada identifikasi atau lokasi lima peretas unit GRU 29155.Atas kebaikan Departemen Luar Negeri AS
Selain operasi yang diketahui sebelumnya terhadap Ukraina, pejabat badan intelijen Barat memberi tahu WIRED bahwa kelompok itu juga telah menargetkan berbagai organisasi di Amerika Utara, Eropa Timur dan Tengah, Asia Tengah, dan Amerika Latin, seperti sektor transportasi dan perawatan kesehatan, lembaga pemerintah, dan “infrastruktur penting” termasuk infrastruktur “energi”, meskipun para pejabat menolak untuk memberikan informasi yang lebih spesifik. Para pejabat memberi tahu WIRED bahwa dalam beberapa kasus, peretas 29155 tampaknya sedang mempersiapkan serangan siber yang lebih mengganggu seperti Whispergate, tetapi tidak memiliki konfirmasi bahwa serangan semacam itu benar-benar terjadi.
Departemen Luar Negeri AS pada bulan Juni secara terpisah terungkap bahwa peretas GRU yang sama yang melakukan Whispergate juga berusaha menemukan kerentanan yang dapat diretas pada target infrastruktur penting AS, “terutama sektor energi, pemerintahan, dan kedirgantaraan.” Dakwaan DOJ yang baru-baru ini dibuka terhadap 29.155 peretas tersebut menuduh mereka menyelidiki jaringan lembaga pemerintah AS di Maryland sebanyak 63 kali—meskipun tanpa mengungkapkan apakah penyelidikan tersebut berhasil—serta mencari kerentanan dalam jaringan target di tidak kurang dari 26 negara NATO.
Dalam banyak kasus, menurut pejabat badan intelijen Barat, niat peretas 29155 tampaknya adalah spionase militer. Di negara Eropa Tengah, misalnya, mereka mengatakan kelompok itu membobol badan kereta api untuk memata-matai pengiriman pasokan kereta api ke Ukraina. Di Ukraina sendiri, mereka mengatakan, para peretas membobol kamera pengawas konsumen, mungkin untuk mendapatkan visibilitas pergerakan pasukan atau senjata Ukraina. Pejabat Ukraina sebelumnya telah diperingatkan bahwa Rusia telah menggunakan taktik itu untuk menargetkan serangan rudal, meskipun pejabat intelijen yang berbicara kepada WIRED tidak memiliki bukti bahwa operasi 29155 secara khusus telah digunakan untuk penargetan rudal itu.
Sumber-sumber badan intelijen Barat mengatakan bahwa tim peretasan GRU Unit 29155 dibentuk pada awal tahun 2020, meskipun hingga beberapa tahun terakhir tim tersebut terutama berfokus pada spionase daripada serangan siber yang lebih mengganggu. Pembentukan kelompok peretas lain di dalam GRU mungkin tampak berlebihan, mengingat bahwa unit-unit tim GRU yang sudah ada sebelumnya seperti Sandworm dan Fancy Bear telah lama menjadi beberapa pemain paling aktif dan agresif di dunia dalam perang siber dan spionase. Namun, pejabat badan intelijen Barat mengatakan bahwa Unit 29155 kemungkinan terdorong untuk mencari tim peretas khusus sendiri karena persaingan internal dalam GRU, serta pengaruh kelompok yang semakin besar menyusul keberhasilan operasinya yang dianggap berhasil—bahkan upaya pembunuhan Skripal yang gagal. “Peracunan Skripal memberi mereka banyak perhatian dan banyak mandat,” kata seorang pejabat. “Kami menilai sangat mungkin hal itu mengakibatkan mereka mendapatkan lebih banyak dana dan sumber daya untuk menarik kemampuan untuk memulai unit siber. Keberhasilan diukur secara berbeda di dunia Barat dan Rusia.”
Menurut pejabat intelijen Barat yang berbicara kepada WIRED, kelompok peretas 29155 hanya terdiri dari sekitar 10 orang, yang semuanya adalah perwira GRU yang relatif muda. Beberapa orang berpartisipasi dalam kompetisi peretasan “Tangkap Bendera”—simulasi peretasan kompetitif yang umum di konferensi peretas—sebelum bergabung dengan GRU, dan mungkin telah direkrut dari acara-acara tersebut. Namun, tim kecil tersebut juga bermitra dengan peretas kriminal siber Rusia dalam beberapa kasus, kata para pejabat, memperluas sumber daya mereka dan dalam beberapa kasus menggunakan malware kriminal siber komoditas yang telah membuat operasinya lebih sulit dikaitkan dengan negara Rusia.
Salah satu contoh dari kemitraan kriminal tersebut adalah dengan Amin Timovich Stigal, seorang hacker asal Rusia. didakwa oleh AS secara in absentia pada bulan Juni karena diduga membantu serangan Whispergate yang dilakukan Cadet Blizzard terhadap pemerintah Ukraina. Departemen Luar Negeri AS juga telah mengeluarkan Hadiah $10 juta untuk informasi yang mengarah pada penangkapan Stigal.
Selain mengandalkan peretas kriminal, tanda-tanda lain dari tingkat keterampilan teknis Cadet Blizzard tampaknya sesuai dengan deskripsi pejabat intelijen tentang tim yang kecil dan relatif muda, menurut seorang peneliti keamanan yang telah melacak kelompok tersebut dengan cermat tetapi meminta untuk tidak disebutkan namanya karena mereka tidak diberi wewenang oleh atasan mereka untuk berbicara tentang temuan mereka. Untuk mendapatkan akses awal ke jaringan target, para peretas sebagian besar mengeksploitasi beberapa kerentanan perangkat lunak yang diketahui dan tidak menggunakan apa yang disebut kerentanan zero-day—cacat yang dapat diretas yang sebelumnya tidak diketahui—menurut peneliti tersebut. “Mungkin tidak banyak pengalaman langsung di sana. Mereka mengikuti prosedur operasi yang sangat umum,” kata peneliti tersebut. “Mereka baru saja menemukan eksploitasi du jour yang akan memberi mereka jarak tempuh paling jauh di domain pilihan mereka, dan mereka menaatinya.” Dalam contoh lain dari kurangnya polesan kelompok tersebut, peta Ukraina yang telah disertakan dalam gambar-gambar pencemaran nama baik mereka dan diunggah ke situs-situs web Ukraina yang diretas, mencantumkan semenanjung Krimea, yang telah diklaim Rusia sebagai wilayahnya sejak tahun 2014.
Selain kecanggihannya, peneliti juga mencatat bahwa 29.155 peretas dalam beberapa kasus membahayakan target mereka dengan membobol penyedia TI yang melayani perusahaan Ukraina dan perusahaan Eropa Timur lainnya, sehingga mereka dapat mengakses sistem dan data korban. “Alih-alih mendobrak pintu depan, mereka mencoba berbaur dengan saluran tepercaya yang sah, jalur tepercaya ke dalam jaringan,” kata peneliti.
Peneliti keamanan juga mencatat bahwa tidak seperti peretas di unit GRU lainnya, Cadet Blizzard tampaknya ditempatkan di gedungnya sendiri, terpisah dari GRU lainnya, mungkin untuk membuat tim lebih sulit dihubungkan ke Unit 29155 tempat mereka menjadi bagiannya. Dikombinasikan dengan struktur komando kelompok dan kemitraan kriminal, semuanya menunjukkan model baru untuk pendekatan GRU terhadap perang siber.
“Semua hal tentang operasi ini berbeda,” kata peneliti tersebut. “Operasi ini benar-benar akan membuka jalan bagi masa depan Federasi Rusia.”
