Departemen Kehakiman Amerika Serikat (DOJ) mengumumkan tuntutan pidana terhadap 16 pelaku kejahatan siber, terkait operasi malware ‘DanaBot’ yang dilaporkan telah menyerang 300.000 mesin di seluruh dunia.
DOJ menyebut kelompok penjahat yang ditangkap dan dipidana berasal dari Rusia. Selama ini, Rusia memang dikenal sebagai salah satu negara dengan ekosistem jaringan hacker terbesar dan terkuat di dunia.
Operasi peretasan Rusia telah mengaburkan batasan antara kejahatan siber, perang siber yang dibekingi pemerintah, serta kampanye espionase.
Dakwaan terhadap sekelompok warga Rusia dan penumpasan botnet mereka yang meluas menunjukkan bagaimana satu operasi malware diduga memicu operasi peretasan yang bervariasi seperti ransomware, serangan siber masa perang di Ukraina, dan mata-mata terhadap pemerintah asing.
DOJ mengumbar 2 nama dar 16 tersangka yang dipidana. Masing-masing adalah Aleksandr Stepanov dan Artem Aleksandrovich Kalinkin. Keduanya berbasis di Novosibirk, Rusia.
Selain tuduhan penyebaran malware, DOJ mengatakan Dinas Investigasi Kriminal Pertahanan (DCIS) melakukan penyitaan infrastruktur DanaBot di seluruh dunia, termasuk di AS.
DanaBot diklaim digunakan dalam peretasan kriminal untuk mencari keuntungan. Selain itu, dalam dakwaan, disebutkan varian kedua dari malware tersebut digunakan dalam kampanye spionase yang menargetkan militer, pemerintah, dan LSM.
“Malware yang menyebar luas seperti DanaBot merugikan ratusan ribu korban di seluruh dunia, termasuk entitas militer, diplomatik, dan pemerintah yang sensitif, dan menyebabkan kerugian jutaan dolar,” tulis jaksa AS Bill Essayli dalam sebuah pernyataan, dikutip dari Wired, Jumat (23/5/2025).
Beroperasi Sejak 2018
Sejak 2018, DanaBot telah menginfeksi jutaan komputer di seluruh dunia. Awalnya sebagai trojan perbankan yang dirancang untuk mencuri langsung dari pemilik PC dengan fitur modular yang dirancang untuk pencurian kartu kredit dan mata uang kripto.
Pembuatnya diduga menjual DanaBot dalam model “afiliasi” yang membuat tool tersebut tersedia bagi kelompok peretas lain seharga US$3.000 hingga US$4.000 per bulan. Dengan begitu, DanaBot juga berfunsi sebagai alat untuk memasang berbagai bentuk malware dalam berbagai operasi, termasuk ransomware.
Targetnya pun dengan cepat menyebar dari korban awal di Ukraina, Polandia, Italia, Jerman, Austria, dan Australia, ke lembaga keuangan AS dan Kanada, menurut analisis operasi oleh firma keamanan siber Crowdstrike.
Pada 2021, menurut Crowdstrike, DanaBot digunakan dalam serangan rantai pasokan software yang menyembunyikan malware dalam alat pengkodean javascript yang disebut NPM dengan jutaan unduhan setiap minggu. Crowdstrike menemukan korban dari alat yang disusupi itu di seluruh industri layanan keuangan, transportasi, teknologi, dan media.
Skala tersebut dan beragamnya penggunaan kriminalnya menjadikan DanaBot sebagai raksasa lanskap kejahatan elektronik, menurut Selena Larson, peneliti ancaman staf di firma keamanan siber Proofpoint.
Yang lebih unik, DanaBot juga pernah digunakan untuk melakukan peretasan yang tampaknya disponsori negara atau terkait dengan kepentingan lembaga pemerintah Rusia.
Pada 2019 dan 2020, DanaBot digunakan untuk menargetkan sejumlah pejabat pemerintah Barat dalam operasi spionase, menurut dakwaan DOJ. Menurut Proofpoint, malware dalam kasus tersebut dikirimkan melalui pesan phishing yang menyamar sebagai Organisasi Keamanan dan Kerja Sama di Eropa dan entitas pemerintah Kazakhstan.
Kemudian, pada minggu-minggu awal invasi besar-besaran Rusia ke Ukraina yang dimulai pada Februari 2022, DanaBot digunakan untuk memasang alat penolakan layanan terdistribusi (DDoS) ke mesin yang terinfeksi dan meluncurkan serangan terhadap server webmail Kementerian Pertahanan Ukraina dan Dewan Pertahanan dan Keamanan Nasional Ukraina.
Semua itu menjadikan DanaBot contoh yang sangat jelas tentang bagaimana malware diduga diadopsi oleh peretas Rusia, kata Larson dari Proofpoint.
“Secara historis, ada banyak dugaan tentang operator kejahatan dunia maya yang bekerja sama dengan badan pemerintah Rusia, tetapi belum banyak laporan publik tentang garis yang semakin kabur ini,” kata Larson.
Dalam pengaduan pidana tersebut, penyidik DCIS Elliott Peterson menuduh beberapa anggota operasi DanaBot teridentifikasi setelah mereka menginfeksi komputer mereka sendiri dengan malware tersebut.
Menurut Peterson, infeksi tersebut mungkin dilakukan untuk menguji trojan tersebut, atau mungkin tidak disengaja. Apa pun itu, infeksi tersebut menghasilkan informasi pengenal tentang dugaan peretas yang berakhir di infrastruktur DanaBot yang kemudian disita DCIS.
“Infeksi yang tidak disengaja tersebut sering kali mengakibatkan data sensitif dan membahayakan dicuri dari komputer pelaku oleh malware dan disimpan di server DanaBot, termasuk data yang membantu mengidentifikasi anggota organisasi DanaBot,” tulis Peterson.
Operator DanaBot masih bebas, tetapi penumpasan alat berskala besar, baik yang disponsori negara maupun kriminal, merupakan tonggak penting, kata Adam Meyers, yang memimpin penelitian intelijen ancaman di Crowdstrike.
“Setiap kali operasi kejahatan siber mengalami disrupsi, kita bisa memengaruhi kemampuan mereka untuk memonetisasinya. Hal itu juga menciptakan sedikit kekosongan, dan orang lain akan maju dan mengambil alih posisi itu,” kata Meyers.
