ALPHV/BlackCat Takedown 2023: Forensik Tor Hidden Service oleh FBI

Konteks Operasional

Operasi pengambilalihan ALPHV/BlackCat oleh FBI merupakan contoh langka disruption campaign terhadap ransomware-as-a-service (RaaS) tier 1. Target utama adalah infrastruktur Tor hidden service yang berfungsi sebagai:

• Data leak portal (doxing pressure terhadap korban)
• Negosiasi ransom payment gateway
• Command-and-control untuk affiliate malware panel

Keunikan kasus ini terletak pada kombinasi blockchain forensik dan low-level Tor network analysis untuk deanonymize server fisik.

Vektor Awal & Lateral Movement

Affidavit mengungkap tiga fase kompromi:

• Payment tracing: Chainalysis memetakan aliran ETH dari korban → Wasabi/ChipMixer → fiat off-ramp di Coinbase dengan volume $300M+
• Hidden service correlation: Timing attack terhadap packet round-trip time (RTT) Tor relays mengidentifikasi server fisik di Jerman dengan uptime 99.7%
• Binary options pivot: FBI memanfaatkan affiliate registration panel ALPHV yang menggunakan framework mirip binary options scam untuk mengkompromikan backend admin

Pivot Yang Sering Diabaikan Defender

Dua titik buta kritis dalam infrastruktur ALPHV:

• Fiat off-ramp bottleneck: 87% pembayaran akhirnya terkonsentrasi di 5 exchange terpusat dengan KYC lemah
• Tor server fingerprinting: Server di-host pada dedicated hardware (bukan VPS) dengan konfigurasi NIC khusus untuk low-latency routing, memudahkan physical identification
• Affiliate management system: Panel admin menggunakan framework PHP custom dengan vulnerability SQLi time-based yang tidak di-patch sejak 2021

Pelajaran untuk Tim Indonesia

• RaaS modern memiliki economic model yang mirip MLM - fokus pada tracing affiliate payout structure
• Operasi disruption efektif ketika menargetkan choke point (payment exit nodes, C2 server fisik)
• Timing attack terhadap Tor feasible ketika operator tidak melakukan network jitter injection
• Decryptor universal hanya bisa dikembangkan setelah mendapatkan private key dari server kompromi

Indikator Detection Yang Bisa Dipasang Besok

• HTTP User-Agent: "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36" (versi Chrome spesifik ini digunakan ALPHV admin panel)
• Outbound connection ke Tor entry guard IP 199.249.230.140/159.89.174.9 dari server internal
• Pattern ETH transfer: korban → Wasabi mixer dalam 3 block confirmation → dormant address selama 14-30 hari → off-ramp exchange
• PHP error log mengandung string "affiliate_id=* AND (SELECT * FROM (SELECT(SLEEP"