The Shadow Brokers

The Shadow Brokers (TSB) adalah sebuah kelompok peretas yang pertama kali muncul pada musim panas tahun 2016.^[1][2] Mereka menerbitkan beberapa kebocoran yang berisi alat peretasan, termasuk beberapa eksploitasi zero-day,^[1] dari "Equation Group" yang secara luas diduga merupakan cabang dari National Security Agency (NSA) Amerika Serikat.^[3][4] Secara khusus, eksploitasi dan kerentanan ini^[5][6] menargetkan tembok api perusahaan, perangkat lunak antivirus, dan produk Microsoft.^[7] The Shadow Brokers awalnya menghubungkan kebocoran tersebut dengan pelaku ancaman Equation Group, yang telah dikaitkan dengan unit Tailored Access Operations NSA.^{[4][8][9][10]}

Beberapa sumber berita mencatat bahwa nama kelompok ini kemungkinan mengacu pada karakter dari seri permaian video Mass Effect.^[11][12] Matt Suiche mengutip deskripsi karakter berikut ini: "The Shadow Broker adalah seorang individual kepala organisasi besar yang memperdagangkan informasi, selalu menjual kepada penawar tertinggi. The Shadow Broker tampaknya sangat kompeten dalam perdagangannya: semua rahasia yang dibeli dan dijual tidak pernah memungkinkan satu pun pelanggan Broker memperoleh keuntungan yang signifikan, memaksa pelanggannya untuk menukar informasi agar menghindari kerugian, memungkinkan Broker untuk tetap menjalankan bisnisnya."

Meskipun tanggal pastinya belum jelas, laporan menunjukkan bahwa persiapan kebocoran tersebut dimulai setidaknya pada awal Agustus,^[13] dan publikasi awal terjadi pada tanggal 13 Agustus 2016 melalui Tweet dari akun Twitter "@shadowbrokerss" mengumumkan sebuah halaman Pastebin^[6] dan sebuah repostitori GitHub berisi referensi dan instruksi untuk mendapatkan dan mendekripsi konten berkas yang diduga berisi alat dan eksploitasi yang digunakan oleh Equation Group. Respon awal dari publikasinya menemui beberapa ketidakpastian tentang keasliannya.^[14]

Pada tanggal 31 Oktober 2016, The Shadow Brokers mempublikasikan sebuah daftar peladen yang seharusnya dikompromi oleh Equation Group, serta referensi ke tujuh alat yang seharusnya tidak diungkapkan (DEWDROP, INCISION, JACKLADDER, ORANGUTAN, PATCHICILLIN, RETICULUM, SIDETRACK AND STOICSURGEON) juga digunakan oleh pelaku ancaman.^[15]

Pada tanggal 8 April 2017, akun Medium yang digunakan oleh The Shadow Brokers memposting pembaruan baru. Postingannya mengungkapkan kata sandinya CrDj”(;Va.*NdlnzB9M?@K2)#>deB7mN ke berkas terenkripsi yang dirilis tahun sebelumnya, yang diduga memiliki lebih banyak alat peretasan NSA.^[16] Postingan ini secara eksplisit menyatakan bahwa postingan tersebut sebagian merupakan respons terhadap serangan Presiden Trump terhadap lapangan terbang Suriah, yang juga digunakan oleh pasukan Rusia.

Lebih dari 200.000 sistem terinfeksi dengan alat dari kebocoran ini dalam dua minggu pertama,^[17] dan pada Mei tahun 2017, serangan ransomware WannaCry menggunakan eksploit ETERNALBLUE pada Server Message Block (SMB) untuk menyebarkan dengan sendiri.^[18] Eksploitasi ini juga digunakan untuk membantu melakukan serangan siber NotPetya pada 27 Juni 2017.^[19]

Kebocoran ini diduga sebagai "...kebocoran paling merusak yang pernah ada"^[20] dan CNN mengutip perkataan Matthew Hickey, "Ini mungkin adalah hal paling merusak yang pernah saya lihat dalam beberapa tahun terakhir".^[21]

ETERNALBLUE berisi kode shell kernel untuk memuat pintu belakang DoublePulsar yang tidak persisten.^[22] Hal ini memungkinkan instalasi dari payload PEDDLECHEAP yang kemudian dapat diakses oleh penyerang menggunakan perangkat lunak Listening Post (LP) DanderSpritz.^[23][24]

James Bamford bersamaan dengan Matt Suiche bahwa seorang orang dalam, "mungkin seseorang yang ditugaskan ke Tailored Access Operations [NSA] yang sangat sensitif", mencuri alat peretasan.^[25][26] Pada Oktober tahun 2016, The Washington Post melaporkan bahwa Harold T. Martin III, mantan kontraktor Booz Allen Hamilton yang dituduh mencuri sekitar 50 terabita data dari National Security Agency (NSA), adalah tersangka utama. Martin telah bekerja dengan Tailored Access Operations NSA dari tahun 2012 hingga 2015 dalam sebuah peran pendukung. Dia mengaku bersalah karena menyembunyikan informasi pertahanan nasional pada tahun 2019, tetapi tidak jelas apakah Shadow Brokers memperoleh materi mereka darinya. The Shadow Brokers melanjutkan memposting pesan bahwa yang ditandatangani secara kriptografi dan diwawancarai oleh media saat Martin ditahan.^[27]

Pada tanggal 14 April 2017, The Shadow Brokers merilis, antara lain, alat-alat dan eksploit dengan kode nama: DANDERSPRITZ, ODDJOB, FUZZBUNCH, DARKPULSAR, ETERNALSYNERGY, ETERNALROMANCE, ETERNALBLUE, EXPLODINGCAN dan EWOKFRENZY.^[20][28]

Kebocoran ini diduga sebagai "...kebocoran paling merusak yang pernah ada"^[20] dan CNN mengutip perkataan Matthew Hickey, "Ini mungkin adalah hal paling merusak yang pernah saya lihat dalam beberapa tahun terakhir".^[21]

Beberapa eksploit menargetkan sistem operasi Microsoft Windows telah di patch dalam Microsoft Security Bulletin pada tanggal 14 Maret 2017, sebulan sebelum kebocoran terjadi.^[29][30] Beberapa berspekulasi bahwa Microsoft mungkin telah diberi tahu oleh NSA tentang perilisan eksploitasi tersebut.^[31]

Edward Snowden menyatakan di Twitter pada 16 Agustus 2016 bahwa "bukti tidak langsung dan kebijaksanaan konvensional menunjukkan tanggung jawab Rusia"^[32] dan bahwa kebocoran tersebut "adalah layaknya sebuah peringatan bahwa seseorang dapat membuktikan pertanggungjawabnya untuk serangan apapun yang berasal dari peladen malware ini",^[33] dan meyimpulkan bahwa sepertinya "seseorang mengirim pesan bahwa eskalasi dalam permainan atribusi bisa menjadi kacau dengan cepat".^[34][35]

The New York Times menempatkan insiden ini dalam konteks Serangan siber Komite Nasional Demokrat dan peretasan surel Podesta. Ketika badan intelijen AS sedang mempertimbangkan serangan balik, kode yang dirilis Shadow Brokers dianggap sebagai peringatan: "Membalas dendam untuk D.N.C., dan masih banyak lagi rahasia, dari peretasan Departemen Luar Negeri, Gedung Putih dan Pentagon, yang mungkin juga akan terungkap. Seorang pejabat senior membandingkannya dengan kejadian di The Godfather yang dimana kepala kuda kesayangan ditinggalkan di tempat tidur, sebagai peringatan."^[36]

Pada tahun 2019, David Aitel, seorang ilmuwan komputer yang sebelumnya dipekerjakan oleh NSA, merangkum situasi dengan: "Aku tidak tahu apakah ada orang lain yang tahu selain orang Rusia. Dan kita tidak akan tahu jika hal tersebut orang Rusia. Kita tidak tahu saat ini; hal apapun dapat ada benarnya."^[37]