Kerangka kerja malware Linux baru yang dirancang dari awal untuk komputasi awan , yang dijuluki VoidLink , menarik perhatian analis keamanan karena kecanggihan teknisnya, mirip dengan malware Linux yang bersembunyi menggunakan io_uring , dan fokusnya yang jelas pada infrastruktur modern. Alat ini, yang pertama kali terdeteksi pada akhir tahun 2025, tidak menyerupai keluarga malware tradisional: ia berperilaku lebih seperti platform pasca-eksploitasi lengkap, yang dirancang untuk beroperasi dalam jangka waktu lama tanpa menimbulkan kecurigaan.
Riset dari perusahaan seperti Check Point menunjukkan bahwa VoidLink masih dalam pengembangan aktif dan mungkin ditujukan untuk penggunaan komersial atau klien yang sangat spesifik, bukan untuk kampanye massal. Meskipun belum ada infeksi aktual yang dikonfirmasi sejauh ini, dokumentasi yang tersedia, luasnya modul, dan kualitas kode menempatkannya di antara ancaman Linux paling canggih yang dianalisis dalam beberapa tahun terakhir, sejalan dengan insiden sebelumnya seperti serangan rantai pasokan.
VoidLink: sebuah kerangka kerja malware yang dirancang untuk komputasi awan dan kontainer.
VoidLink dihadirkan sebagai implant berbasis cloud untuk sistem Linux , yang dirancang untuk beroperasi secara stabil di infrastruktur berbasis cloud dan lingkungan kontainer. Kerangka kerja ini mengintegrasikan loader kustom, implant, komponen mirip rootkit, dan berbagai plugin yang memungkinkan operator untuk menyesuaikan kemampuannya sesuai dengan setiap tujuan dan tahapan operasi.
Inti dari platform ini dibangun terutama menggunakan bahasa seperti Zig, Go, dan C , yang memfasilitasi portabilitas dan kinerja di berbagai distribusi. Arsitektur internalnya berpusat pada API plugin khusus, yang terinspirasi oleh pendekatan seperti Beacon Object Files dari Cobalt Strike, yang memungkinkan modul dimuat ke dalam memori dan fungsionalitas diperluas tanpa perlu menyebarkan biner baru setiap kali.
Menurut analisis teknis, desain modular memungkinkan fungsionalitas VoidLink untuk diperbarui atau dimodifikasi 'secara langsung' , menambah atau mengurangi kemampuan sesuai dengan kebutuhan operasi: mulai dari tugas pengintaian sederhana hingga aktivitas spionase berkelanjutan atau potensi serangan terhadap rantai pasokan.
Deteksi cerdas terhadap penyedia dan lingkungan cloud.
Salah satu poin yang paling mengkhawatirkan para spesialis adalah kemampuan VoidLink untuk mengidentifikasi lingkungan tempat ia berjalan . Penyebaran tersebut memeriksa apakah berada di dalam kontainer Docker atau pod Kubernetes, dan menanyakan metadata instance untuk menentukan penyedia cloud yang mendasarinya.
Kerangka kerja ini mengenali layanan seperti Amazon Web Services (AWS), Google Cloud Platform (GCP), Microsoft Azure, Alibaba Cloud, dan Tencent Cloud , dengan rencana yang sudah terlihat dalam kode untuk menambahkan dukungan bagi penyedia lain seperti Huawei Cloud, DigitalOcean, dan Vultr. Tergantung pada apa yang ditemukannya, ia menyesuaikan perilakunya dan modul yang diaktifkannya untuk meminimalkan kerentanan.
Kemampuan pembuatan profil ini juga meluas ke sistem host: VoidLink mengumpulkan informasi detail tentang kernel, hypervisor, proses, dan status jaringan , serta memeriksa keberadaan solusi Endpoint Detection and Response (EDR), langkah-langkah pengerasan kernel, dan alat pemantauan yang dapat mengungkapkan aktivitasnya, itulah sebabnya disarankan untuk menggunakan alat pemindai rootkit dalam analisis forensik.
Arsitektur modular dan sistem plugin VoidLink
Inti dari kerangka kerja ini adalah pengatur pusat yang mengelola komunikasi perintah dan kontrol (C2) dan mendistribusikan tugas ke berbagai modul. Puluhan plugin, yang dimuat langsung ke memori dan diimplementasikan sebagai objek ELF, bergantung pada inti ini untuk berinteraksi dengan API internal melalui panggilan sistem.
Versi yang dianalisis menggunakan antara 35 dan 37 plugin secara default , yang dikelompokkan ke dalam kategori seperti pengintaian, pergerakan lateral, persistensi, anti-forensik, manajemen kontainer dan cloud, serta pencurian kredensial. Struktur ini menjadikan VoidLink sebagai platform post-eksploitasi sejati untuk Linux, setara dengan alat profesional yang digunakan dalam pengujian penetrasi.
Memilih sistem plugin dalam memori, bersamaan dengan tidak adanya kebutuhan untuk menulis biner baru ke disk untuk menambahkan kemampuan, secara signifikan mengurangi jejak pada mesin yang disusupi dan mempersulit pekerjaan analis forensik dan solusi deteksi berbasis file.
Panel web untuk kendali jarak jauh dan pembuatan bangunan.
Operator VoidLink memiliki panel kontrol berbasis web , yang dikembangkan dengan teknologi modern seperti React, yang memungkinkan mereka untuk mengelola seluruh siklus hidup intrusi. Konsol ini, yang didokumentasikan dalam bahasa Mandarin, memungkinkan mereka untuk membuat versi implant yang disesuaikan, menetapkan tugas, mengunggah atau mengunduh plugin, dan mengelola file pada sistem yang disusupi.
Melalui panel ini, penyerang dapat mengatur berbagai fase serangan : pengintaian awal lingkungan, membangun persistensi, pergerakan lateral antar mesin, penggunaan teknik penghindaran, dan menyembunyikan jejak mereka. Panel ini mencakup opsi untuk memodifikasi parameter operasional secara langsung, seperti interval komunikasi, tingkat penyembunyian, dan metode untuk terhubung ke infrastruktur komando dan kontrol.
Pendekatan ini, yang lebih mendekati produk komersial daripada sekadar malware sekali pakai, memperkuat hipotesis bahwa VoidLink dapat ditawarkan sebagai layanan atau sebagai kerangka kerja sesuai permintaan , alih-alih menjadi alat untuk penggunaan eksklusif satu kelompok saja.
VoidLink menggunakan beberapa saluran perintah dan kontrol.
Untuk berkomunikasi dengan infrastruktur penyerang, VoidLink menggunakan beberapa protokol C2 , sehingga memberikan fleksibilitas untuk beradaptasi dengan berbagai skenario jaringan dan tingkat pengawasan. Saluran yang didukung meliputi HTTP dan HTTPS tradisional, WebSocket, ICMP, dan bahkan terowongan melalui DNS.
Di atas protokol konvensional ini terdapat lapisan enkripsi eksklusif, yang dikenal sebagai "VoidStream ," yang dirancang untuk menyamarkan lalu lintas dan membuatnya menyerupai permintaan web atau panggilan API yang sah. Penyamaran ini mempersulit solusi keamanan berbasis lalu lintas untuk mendeteksi pola anomali dengan tanda tangan sederhana.
Berkat fleksibilitas ini, operator dapat memilih konfigurasi komunikasi yang lebih tersembunyi , memperpanjang interval pengiriman sinyal atau menggunakan saluran yang kurang umum seperti ICMP ketika lingkungan memiliki kontrol jaringan yang lebih ketat.
Rootkit dan teknik penyembunyian tingkat lanjut
VoidLink menggabungkan beberapa modul dengan fungsi rootkit yang diadaptasi ke kernel Linux yang berjalan pada mesin yang disusupi. Tergantung pada versi dan kemampuan yang tersedia, ia dapat menggunakan berbagai teknik untuk menyembunyikan aktivitasnya: injeksi melalui LD_PRELOAD, modul kernel yang dapat dimuat (LKM), atau rootkit berbasis eBPF, seperti yang terlihat pada ancaman baru-baru ini seperti rotajakiro, yang menyamar sebagai systemd.
Komponen-komponen ini memungkinkan Anda untuk menyembunyikan proses, file, soket jaringan, dan bahkan rootkit itu sendiri , meminimalkan tanda-tanda yang terlihat bagi administrator dan alat pemantauan. Modul yang tepat dipilih setelah menganalisis karakteristik sistem, mengoptimalkan kompatibilitas dan kinerja.
Dengan menggabungkan teknik-teknik ini dengan sistem pemuatan dalam memori dan kemampuan untuk beroperasi di lingkungan kontainer, kerangka kerja ini berhasil mempertahankan keberadaan yang sangat tidak mencolok , bahkan pada server dengan tingkat aktivitas tinggi atau dengan banyak aplikasi yang berjalan secara bersamaan.
Plugin VoidLink untuk pengenalan, persistensi, dan pergerakan lateral.
Dalam katalog plugin yang luas, plugin yang berfokus pada kesadaran lingkungan dan pengumpulan informasi sangat menonjol . Modul-modul ini mengumpulkan data tentang pengguna, proses aktif, topologi jaringan, layanan yang terekspos, dan karakteristik kontainer serta orchestrator yang ada.
Plugin lain berfokus pada menjaga persistensi pada sistem Linux , menggunakan metode mulai dari mengeksploitasi loader dinamis hingga membuat tugas cron terjadwal atau memodifikasi layanan sistem. Hal ini memungkinkan implant untuk bertahan dari reboot dan perubahan konfigurasi moderat tanpa memerlukan intrusi lebih lanjut.
Terkait pergerakan lateral, VoidLink menyertakan alat untuk menyebarkan melalui SSH , membangun terowongan, mengalihkan port, dan meluncurkan shell jarak jauh yang memfasilitasi perpindahan antar mesin. Kemampuan ini sangat relevan dalam infrastruktur Eropa dengan arsitektur layanan mikro, di mana banyak node yang terhubung melalui SSH dan jaringan internal adalah hal yang umum.
Pencurian kredensial dan fokus pada pengembang
Sebagian besar kerangka kerja ini didedikasikan untuk mengekstrak kredensial dan rahasia dari layanan cloud dan alat yang digunakan setiap hari oleh tim pengembangan dan operasional. Plugin koleksi dapat mengambil kunci SSH, kredensial Git, token akses, kunci API, kata sandi lokal, dan bahkan data yang disimpan oleh peramban web.
Pendekatan ini menunjukkan bahwa operator VoidLink terutama menargetkan pengembang, administrator sistem, dan personel DevOps , yang aksesnya biasanya memberi mereka akses ke repositori kode penting dan dasbor manajemen. Dari perspektif Eropa, jenis ancaman ini selaras dengan skenario spionase industri atau persiapan serangan terhadap rantai pasokan perangkat lunak.
Selain plugin kredensial, kerangka kerja ini menyediakan modul khusus untuk Kubernetes dan Docker , yang mampu menghitung klaster, mendeteksi kesalahan konfigurasi, mencoba melakukan pengamanan kontainer, dan memeriksa izin yang berlebihan. Hal ini memungkinkan akses yang awalnya terbatas untuk berkembang menjadi kontrol yang jauh lebih luas atas lingkungan cloud suatu organisasi.
Antiforensik dan mekanisme penghindaran otomatis
VoidLink tidak hanya berupaya menyusup ke sistem, tetapi juga menghapus semua jejak tindakannya . Plugin anti-forensiknya mencakup fungsi untuk mengedit atau menghapus entri log, membersihkan riwayat shell, dan memanipulasi stempel waktu file (timestomping), sehingga analisis peristiwa selanjutnya menjadi jauh lebih sulit.
Implan ini juga dilengkapi mekanisme perlindungan terhadap analisis dan debugging . Ia dapat mendeteksi keberadaan debugger dan alat pemantauan canggih, memverifikasi integritas kodenya sendiri, dan menemukan potensi celah yang menunjukkan bahwa ia sedang diamati. Jika mendeteksi tanda-tanda perusakan, ia dapat menghancurkan diri sendiri dan mengaktifkan rutinitas pembersihan yang menghapus file dan jejak keberadaannya.
Salah satu elemen yang sangat mencolok adalah penggunaan kode yang dapat memodifikasi diri sendiri dengan enkripsi saat runtime . Bagian-bagian tertentu dari program hanya didekripsi saat dibutuhkan dan dienkripsi ulang saat tidak digunakan, sehingga mempersulit tugas solusi analisis memori dan mengurangi jendela waktu di mana konten berbahaya terlihat dalam bentuk teks biasa.
Penilaian risiko berdasarkan sistem pertahanan yang terpasang
Kerangka kerja ini melakukan pemprofilan komprehensif terhadap lingkungan keamanan pada setiap mesin yang disusupi. Kerangka kerja ini mencantumkan produk perlindungan yang terpasang, teknologi pengerasan kernel, dan langkah-langkah pemantauan, dan dari informasi ini menghitung semacam skor risiko yang memandu perilakunya.
Jika mendeteksi bahwa sistem tersebut sangat terlindungi, VoidLink dapat memperlambat aktivitas tertentu , seperti pemindaian port atau komunikasi ke server C2, dan memilih teknik yang kurang mengganggu. Di lingkungan yang dianggap berisiko lebih rendah, kerangka kerja ini dapat beroperasi lebih agresif, memprioritaskan kecepatan daripada kerahasiaan mutlak.
Kemampuan adaptasi otomatis ini sesuai dengan tujuan yang dinyatakan, yaitu mengotomatiskan tugas penghindaran sebanyak mungkin , sehingga operator dapat menghabiskan lebih banyak waktu untuk menentukan target dan lebih sedikit waktu untuk menyesuaikan parameter teknis secara manual untuk setiap lingkungan tertentu.
Asal usul VoidLink dan atribusi proyek
Bukti yang dikumpulkan oleh para analis menunjukkan bahwa VoidLink dikembangkan oleh tim berbahasa Mandarin . Lokalisasi antarmuka panel web, beberapa komentar dalam kode, dan optimasi yang diamati mengarah ke arah tersebut, meskipun, seperti yang lazim dalam jenis investigasi ini, hal itu bukanlah atribusi yang pasti.
Kualitas pengembangan, penggunaan berbagai bahasa pemrograman modern, dan integrasi kerangka kerja web terkini menunjukkan tingkat keahlian pemrograman yang tinggi dan pemahaman mendalam tentang seluk-beluk sistem operasi . Semua ini memperkuat gagasan bahwa proyek ini melampaui sekadar eksperimen terisolasi dan mendekati platform profesional yang dipelihara dari waktu ke waktu.
Sejalan dengan itu, fakta bahwa belum ada kampanye infeksi aktif berskala besar yang terdokumentasi mendukung hipotesis bahwa kerangka kerja tersebut masih dalam tahap pengujian, ditawarkan dengan model akses yang sangat terbatas, atau hanya digunakan dalam operasi yang sangat tertarget, sehingga sulit dideteksi di Eropa dan wilayah lain.
Kemunculan VoidLink menegaskan bahwa kecanggihan malware yang menargetkan lingkungan Linux dan cloud berkembang pesat , mendekati model yang sangat matang yang hingga baru-baru ini terutama terlihat pada alat-alat ofensif untuk Windows. Arsitektur modularnya, penekanan pada penghindaran otomatis, dan fokus pada kredensial dan kontainer menjadikannya ancaman yang harus ditanggapi dengan sangat serius oleh setiap organisasi yang mendasarkan infrastrukturnya pada cloud, baik di Spanyol maupun di seluruh Eropa.
