CyberStrikeAI di Dunia Nyata: Orkestrator LLM Mencapai Domain Admin pada Target Pendidikan di Amerika Latin dan Afrika

Pada 2 November 2026, Kaspersky menerbitkan laporan Securelist dan siaran pers yang mendeskripsikan intrusi pada organisasi sektor pendidikan di beberapa negara di Amerika Latin dan Afrika yang pekerjaan pasca-eksploitasinya diarahkan oleh model bahasa besar. Alat tersebut adalah CyberStrikeAI, kerangka pengujian penetrasi berbasis Go dan bersumber terbuka yang server command-and-control-nya menjalankan LLM yang memilih alat dan menulis perintah sementara implan biasa mengeksekusinya di host korban. Dalam satu kasus yang direkonstruksi Kaspersky secara rinci, operator manusia masuk melalui Microsoft SQL Server yang terkompromi, berhenti selama dua minggu, lalu membiarkan agen berjalan: akun administrator domain jatuh dalam tiga hingga empat hari, dan tahap terakhir — pergerakan lateral, pengambilan kredensial massal, dan ekspor basis data — selesai dalam waktu satu jam. Kaspersky tidak menyebutkan nama institusi maupun negara, tidak memberikan jumlah korban, dan mengatakan pihaknya mengamati aktivitas tersebut antara September dan Oktober 2026. Catatan lengkap untuk kampanye ini, dengan tingkat keparahan, peringkat keyakinan, dan daftar sumber lengkapnya, disimpan dalam Orca AI Incident Archive, bersama entri lain tentang intrusi yang dibantu AI.

Apa yang sebenarnya diterbitkan Kaspersky

Dokumen utamanya adalah "CyberStrikeAI di dunia nyata: penggunaan AI dalam serangan nyata terhadap organisasi," yang diterbitkan di Securelist pada 2 November 2026 dan dikreditkan kepada Kirill Antonov, Vladislav Vlasov, dan Dmitry Chizhmak dari tim riset ancaman Kaspersky. Dokumen ini disertai siaran pers Kaspersky sendiri, yang diterbitkan pada hari yang sama, yang merangkum temuan yang sama. Tingkat kepercayaan arsip sebesar A menjelaskan seberapa selaras kedua dokumen tersebut satu sama lain dan seberapa spesifik detail teknisnya; ini bukan pernyataan bahwa organisasi lain telah memverifikasi intrusi tersebut secara independen.

Liputan sekunder dalam laporan ini tidak menyediakan organisasi kedua tersebut. Cybersecuritynews.com, Cyberpress, SecurityOnline, dan TechTrends Kenya yang berbasis di Nairobi semuanya menerbitkan artikel antara 2 dan 3 November 2026, dan masing-masing bersumber dari rilis Kaspersky, bukan dari investigasinya sendiri; tulisan media Kenya itu dibangun di sekitar kutipan siaran pers yang sama dari Nikita Nazarov, kepala Threat Exploration di Kaspersky. Per 9 November 2026, belum ada universitas terdampak, kementerian pendidikan, atau tim tanggap darurat komputer nasional yang secara publik mengonfirmasi intrusi tersebut, dan Kaspersky belum menerbitkan identitas korban. Ketiadaan itu sendiri merupakan bagian dari catatan: yang didokumentasikan secara rinci adalah teknik operasi, bukan kerugian pada lembaga mana pun yang disebutkan namanya.

Pernyataan cakupan Kaspersky sengaja dibuat sempit. Korban yang terkonfirmasi, menurut pernyataannya, adalah "organisasi di sektor pendidikan di beberapa negara di Afrika dan Amerika Latin." Pernyataan itu tidak menyebutkan berapa banyak, negara mana, atau bagaimana kampanye tersebut pertama kali terdeteksi — hanya bahwa tim menemukannya "sebagai bagian dari pemantauan ancaman proaktif."

Satu perbedaan penting di sini, karena mudah dikaburkan. Organisasi independen kini telah melaporkan CyberStrikeAI dalam intrusi nyata — tetapi bukan intrusi ini. Team Cymru mengaitkan infrastruktur yang menjalankan alat tersebut dengan kampanye Januari–Februari 2026 terhadap lebih dari 600 perangkat FortiGate, setelah mengamati 21 alamat IP unik yang melayani alat itu antara 20 Januari dan 26 Februari 2026. Unit TrendAI milik Trend Micro, dalam riset yang diterbitkan pada 23 Oktober 2026, mendeskripsikan seorang operator yang menjalankan 44 agen CyberStrikeAI terkoordinasi yang menjadikan setidaknya 19 organisasi yang dapat diidentifikasi, setidaknya 16 di antaranya di Jepang, sebagai sasaran aktivitas validasi dalam jendela singkat pada Oktober itu. Catatan riset Cloud Security Alliance tanggal 28 Oktober 2026 menyatukan keduanya dan menyimpulkan bahwa belum ada sumber terbitan yang mengaitkan kampanye-kampanye CyberStrikeAI yang terpisah dengan satu aktor. Kumpulan karya tersebut menguatkan premis — bahwa kerangka kerja ini digunakan untuk menyerang jaringan nyata — dan tidak mengatakan apa pun tentang korban pendidikan di Amerika Latin dan Afrika dalam laporan Kaspersky.

Alat itu, dan di mana AI sebenarnya berada

CyberStrikeAI, sebagaimana dijelaskan Kaspersky, adalah "platform modular sumber terbuka yang ditulis dalam Go untuk mengotomatiskan pengujian penetrasi." Pilihan desain yang menentukannya adalah bahwa seluruh lapisan cerdas berada di server kendali penyerang, bukan di mesin korban. Utilitas pengintaian dan eksploitasi, manajemen webshell, penugasan tugas kepada agen, dan pembacaan hasil semuanya diekspos ke model sebagai alat MCP di dalam satu proses server, dan model itulah yang memutuskan alat mana yang akan dipanggil berikutnya.

Implan adalah separuh lainnya, dan sengaja dibuat bodoh. Kaspersky menulis bahwa itu adalah "agen C2 klasik tanpa fungsi AI — tanpa kunci API, tanpa panggilan ke API layanan AI, dan tanpa logika otonom." Ia melakukan polling ke listener melalui HTTP/S, TCP, atau WebSocket, menjalankan perintah shell, dan mengakses sistem berkas. Ini bukan model yang berjalan di jaringan korban, dan tidak pernah menghubungi penyedia AI. Pembagian kerja adalah kalimat yang digunakan Kaspersky untuk menjelaskan seluruh skema: "Keputusan didistribusikan ke dua tingkat: operator mendefinisikan tugas secara umum, sementara model menentukan cara mengeksekusinya."

Kontrol manusia dipertahankan, bukan dihilangkan. Kaspersky mencatat mekanisme human-in-the-loop yang di dalamnya "operator tetap memiliki kendali penuh atas proses," dan bahwa perintah yang dihasilkan oleh model "mungkin memerlukan persetujuan atau koreksi manual sebelum dieksekusi." AI menulis langkah-langkahnya; seseorang masih dapat menolaknya.

Satu intrusi yang direkonstruksi, sesuai urutan tanggal yang ditetapkan Kaspersky

Laporan ini mengikuti satu insiden di dalam kampanye tersebut, dan fase pertamanya tampak seperti pekerjaan langsung di keyboard yang biasa. Perintah pada sistem korban berasal dari proses sqlservr.exe, yang menunjukkan "SQL Server yang telah dikompromikan (versi 16.0.1000)" sebagai kemungkinan jalur masuk. Operator kemudian mengumpulkan informasi dasar host, men-deploy alat, dan memetakan jaringan secara manual. Itu memakan waktu "hampir sehari," setelah itu para penyerang tidak aktif selama sekitar dua minggu.

Fase kedua adalah saat tempo berubah. Dengan agen CyberStrikeAI yang telah diterapkan, persistensi dan rekonaisans lokal dilakukan "dalam 2 menit" — tugas terjadwal bernama SystemUpdate yang menunjuk ke implant, dengan kunci Run registri di bawah HKCU\Software\Microsoft\Windows\CurrentVersion\Run sebagai alternatif framework pada Windows, dan entri crontab @reboot atau baris nohup di ~/.bashrc sebagai alternatifnya pada Linux. Rekonaisans domain berjalan "selama 5 jam berikutnya," menggunakan skrip PowerShell yang dihasilkan model dan kueri LDAP terhadap Active Directory, termasuk pencarian yang diperlukan untuk menyiapkan Kerberoasting dan AS-REP Roasting serta pemeriksaan untuk LAPS, Azure, dan direktori .azcopy. Setelah "jeda singkat selama beberapa hari," tahap akhir — pergerakan lateral melalui SMB dan WMI, pengambilan kredensial massal, dan ekspor basis data — memakan "tidak lebih dari satu jam."

Ringkasan Kaspersky adalah yang layak dipertahankan: seluruh serangan, "dari penyebaran agen hingga pengambilalihan administrator domain – diselesaikan dalam 3–4 hari."

Pekerjaan kredensial ini merupakan katalog teknik Windows yang sudah dikenal, bukan hal baru: hive registry disalin keluar dengan reg.exe, lsass.exe di-dump melalui fungsi MiniDump dari comsvcs.dll menggunakan ID proses alih-alih namanya untuk menggagalkan pencocokan command line, dan — setelah akun administrator domain bawaan berhasil dikompromikan — serangan DCSync dan Golden Ticket dijalankan melalui biner Mimikatz yang telah diganti nama, wdiag2.exe. Pergerakan lateral menggunakan WMIExec milik Impacket, folder administratif bersama, dan WMI, dengan skrip reverse shell, p1.ps1, yang dikirim ke host jarak jauh dan melakukan panggilan balik ke 185.186.245[.]144:5501. Payload dipecah menjadi fragmen seperti d3.b64 dan digabungkan kembali dengan certutil, dan satu beacon menyamar sebagai svchosts.exe.

Pengumpulan data menjadi tahap terakhir. Agen tersebut membuat kueri SQL yang disesuaikan dengan tugas itu tetapi memeriksa hak akses akun basis data sebelum menjalankannya, memindai share jaringan secara rekursif sebelum mengambil file, dan mengirimkan semuanya kembali melalui kanal C2 terenkripsi yang sama dengan data dienkode Base64 di dalam JSON. Tangkapan layar pada Windows dan Linux tersedia, tetapi menurut keterangan Kaspersky, hanya diambil ketika orkestrator mengeluarkan perintah. Laporan tersebut menyatakan bahwa pengumpulan data "adalah tahap akhir serangan: rantai serangan berakhir di sana, dan kami tidak mengamati aktivitas lebih lanjut."

Apa yang diambil, dan apa yang tidak disebutkan oleh catatan itu

Kaspersky mencatat bahwa agen tersebut mengekspor catatan basis data dari server SQL organisasi pendidikan dan mengumpulkan file dari sumber daya jaringan, serta menjelaskan mekanismenya secara terperinci. Laporan itu tidak menyebutkan berapa banyak catatan atau file yang keluar, apakah ekspor selesai, atau data siapa yang ada di dalam tabel. Ringkasan sekunder melangkah lebih jauh daripada laporan itu dalam hal ini: Tulisan SecurityOnline menyatakan bahwa agen tersebut "menghasilkan kueri SQL bertarget untuk mencuri catatan siswa dan staf dari tabel basis data," sementara teks Kaspersky sendiri menjelaskan kueri terhadap server SQL pendidikan tanpa merinci apa isi tabel tersebut. Pembaca harus menganggap deskripsi "catatan siswa dan staf" sebagai karakterisasi sekunder, bukan temuan Kaspersky.

Juga tidak tercatat: apakah ada korban yang mendeteksi intrusi itu sendiri, apa yang dilakukan setiap institusi setelahnya, apakah regulator atau otoritas perlindungan data di negara-negara terdampak telah diberi tahu, dan apakah kampanye tersebut masih berjalan. Kaspersky hanya menyatakan bahwa pengumpulan data adalah langkah terakhir yang teramati dalam insiden yang diperiksanya. Siaran pers tersebut tidak memuat panduan remediasi untuk organisasi terdampak — rekomendasinya ditujukan kepada para defender secara umum.

Atribusi: apa yang didukung oleh bukti, dan apa yang tidak

Kaspersky menyatakan secara tegas bahwa pihaknya tidak dapat menyebut nama aktor. "Data yang tersedia tidak memungkinkan kami mengaitkan aktivitas tersebut dengan kelompok penyerang mana pun yang diketahui, maupun menyatakan dengan pasti bahwa operator yang sama berada di balik kedua kampanye." Artefak yang menjadi sandarannya adalah metadata build Go di dalam implan, yang memuat hash kontrol versi, waktu commit, dan flag dirty working copy — "sidik jari unik untuk build tertentu." Berdasarkan hal itu, sampel terbagi menjadi dua kelompok, dan dalam setiap kelompok payload Windows dan Linux memiliki metadata yang identik, yang berarti keduanya berasal dari working copy yang sama.

Kelompok-kelompok itu tidak saling terhubung. Mereka “tidak berbagi infrastruktur C2 yang sama,” dan versi CyberStrikeAI yang berbeda berjalan di dua set server kontrol. Kaspersky memberikan dua alasan mengapa atribusi sulit dilakukan di sini: kerangka kerja tersebut tersedia untuk publik, sehingga operator yang berbeda dapat membangun payload secara independen dalam kondisi yang serupa, dan perintah-perintah itu sendiri dihasilkan oleh model, yang memperbanyak variasi sekaligus menghilangkan kebiasaan individu yang menjadi dasar atribusi perilaku.

Yang tersisa bersifat sugestif, bukan konklusif. Beberapa skrip memuat komentar dalam bahasa Tiongkok, para penyerang menggunakan layanan Tiongkok dnslog[.]cn untuk mengonfirmasi akses internet dari host korban, dan sebagian besar restart server kendali — dapat dipulihkan karena sertifikat TLS yang ditandatangani sendiri diregenerasi di memori pada setiap start, sehingga bidang not_before-nya mencatat waktu restart — jatuh dalam jam kerja UTC+8. CyberStrikeAI sendiri dikembangkan di dalam komunitas keamanan siber Tiongkok. Rilis pers Kaspersky menegaskan batasnya secara gamblang: artefak-artefak ini "tidak menetapkan identitas atau lokasi penyerang," dan perusahaan "tidak dapat mengatribusikan aktivitas tersebut ke kelompok ancaman yang dikenal atau mengonfirmasi bahwa operator yang sama mengendalikan semua infrastruktur yang teridentifikasi." Operator berbahasa Tiongkok adalah inferensi, bukan temuan.

Mengapa Kaspersky mengatakan ini bukan darurat deteksi

Kesimpulan laporan tersebut menentang gagasan bahwa LLM dalam rantai serangan memerlukan kelas pertahanan baru. Karena model itu berada di server penyerang, ia "tidak meninggalkan jejak keberadaannya di infrastruktur (seperti permintaan API spesifik ke LLM lokal atau pola konsumsi sumber daya yang anomali oleh host)." Sebaliknya, yang dilihat para pembela adalah intrusi yang berbentuk seperti aktivitas manusia: utilitas yang sama, urutan yang sama, entri log peristiwa yang sama. Putusan Kaspersky adalah bahwa "pengenalan AI ke dalam rantai serangan belum menghadirkan tantangan yang secara fundamental baru bagi deteksi," bahwa "aturan korelasi dan analisis perilaku klasik yang telah disetel dengan baik sudah memadai," dan bahwa kebaruan "tidak terletak pada metode itu sendiri, melainkan pada kecepatan dan kemudahan eksekusinya."

Deteksi yang dipublikasikan mengikuti logika tersebut alih-alih menciptakan yang baru. Kaspersky Anti Targeted Attack menetapkan verdict jaringan Backdoor.CyberStrikeAI.HTTP.C&C pada lalu lintas implant; aturan deteksi anomali jaringan bernama "Scanning domain records via LDAP queries" menangkap pengintaian domain; Kaspersky SIEM menyertakan lebih dari 100 aturan yang mencakup teknik-teknik dalam laporan, termasuk DCSync, Golden Ticket, Kerberoasting, dan Impacket WMIExec; dan implant diklasifikasikan sebagai HEUR:HackTool.Win64.CyberStrike.gen dan HEUR:HackTool.Linux.CyberStrike.gen. Panduan Kaspersky bagi pelanggan bersifat konvensional — deteksi dan respons endpoint, deteksi jaringan, intelijen ancaman, serta pemantauan di luar jam kerja atau melalui layanan terkelola.

Pernyataan Nazarov dalam siaran pers itu adalah argumen yang sama dalam satu kalimat: para penyerang "menggunakan agen AI berbasis CyberStrikeAI untuk menjalankan rantai serangan lengkap dan menyesuaikan langkah mereka berikutnya di dalam jaringan yang telah dibobol," tetapi "kerangka kerja tersebut tetap mengandalkan teknik dan prosedur yang sudah dikenal, termasuk discovery, credential dumping, pergerakan lateral, serta pengumpulan dan eksfiltrasi."

Apa yang sudah mapan, dan apa yang belum

Dinyatakan secara gamblang: mekanismenya didokumentasikan hingga tingkat yang memungkinkan seorang defender memburunya besok — asal-usul proses dari sqlservr.exe, tugas terjadwal bernama SystemUpdate, akses LSASS melalui comsvcs.dll, DCSync dari non-domain-controller, header HTTP X-Implant-Token, dan alamat C2 yang dicantumkan Kaspersky. Kampanye di sekitar mekanisme itu tidak demikian. Kaspersky tidak menerbitkan daftar korban, rincian per negara, perkiraan volume data, maupun aktornya. Semua yang mungkin ingin diketahui pembaca tentang siapa yang dirugikan dan seberapa parah kerugiannya berhenti pada sektor dan wilayah.

Dua detail perlu diperhatikan bagi siapa pun yang membaca laporan itu dengan harapan mendapat lebih banyak. Pertama, Kaspersky menyebut serangan tersebut sebagai "salah satu deskripsi publik pertama tentang kompromi yang melibatkan LLM di alam liar", bukan yang pertama — sebuah pernyataan berhati-hati yang membatasi klaim pada apa yang dapat ditemukan tim dalam pemberitaan publik. Kedua, laporan mencatat bahwa versi implan tidak mengikuti versi server, bahwa konfigurasi dan kunci listener tetap bertahan melalui pembaruan operator, dan bahwa tanggal build suatu sampel hanya memberikan tanggal deployment paling awal yang mungkin, bukan lamanya kompromi. Angka 3–4 hari adalah pengukuran atas satu insiden yang direkonstruksi, bukan batas atas berapa lama salah satu intrusi ini berlangsung sebelum ada yang menyadarinya.