UNC6508: Peretas China Curi Data Riset Medis & Militer via Server REDCap dengan Malware InfiniteRed

“Pencurian data riset medis bukan hanya tentang privasi — ini adalah perlombaan senjata intelektual di mana setiap data klinis yang dicuri bisa jadi fondasi keunggulan teknologi dan militer musuh.”

Ringkasan

Google Threat Intelligence Group (GTIG) pada Juni 2026 mengungkap kampanye spionase siber berskala besar yang dilakukan oleh kelompok peretas China yang dilacak sebagai UNC6508. Kelompok ini menargetkan server REDCap (Research Electronic Data Capture) di institusi medis, akademik, dan militer di Amerika Serikat dan Kanada.

Menggunakan malware kustom bernama InfiniteRed, UNC6508 berhasil menyusup ke puluhan institusi riset dan mencuri data sensitif yang mencakup penelitian medis, kecerdasan buatan, teknologi drone, dan kesiapan militer — selama lebih dari dua tahun tanpa terdeteksi.

Siapa UNC6508?

UNC6508 adalah sebutan dari Google Threat Intelligence Group untuk kelompok threat actor yang:

Berasal dari China — berdasarkan TTP (Tactics, Techniques, Procedures), pola operasi, dan target
Aktif sejak minimal 2023 — dengan bukti kompromi tertua ditemukan pada September 2023
Berfokus pada spionase — bukan financial crime atau ransomware
Menargetkan riset strategis — medis, AI, pertahanan, drone, dan kebijakan geo-strategis

Operasi UNC6508 menunjukkan karakteristik khas state-sponsored APT (Advanced Persistent Threat):

Sabar — mampu berdiam dalam jaringan korban selama bertahun-tahun
Presisi — hanya mencuri data spesifik yang bernilai strategis
Stealth — menggunakan teknik obfuscation dan infrastruktur yang sulit dilacak

Target: Server REDCap

Apa Itu REDCap?

REDCap (Research Electronic Data Capture) adalah platform manajemen data klinis yang digunakan secara luas oleh:

Rumah sakit universitas — mengelola data uji klinis dan penelitian medis
Institusi akademik — riset berbagai bidang dari biomedis hingga AI
Laboratorium penelitian — data eksperimen dan hasil studi
Lembaga pemerintah — survei kesehatan masyarakat dan data epidemiologi

Mengapa REDCap?

REDCap menjadi target ideal karena:

Menyimpan data riset bernilai tinggi — data yang belum dipublikasikan, hasil uji klinis, formula
Seringkali berjalan di versi lama — tidak di-update secara rutin seperti sistem produksi
Keamanan yang lebih longgar — fokus institusi riset adalah penelitian, bukan hardening keamanan
Akses ke jaringan internal universitas — sebagai pintu masuk ke target yang lebih luas

Malware InfiniteRed: Anatomi Serangan

Apa Itu InfiniteRed?

InfiniteRed adalah malware kustom yang dikembangkan khusus oleh UNC6508 untuk menargetkan REDCap. Malware ini bersifat modular dan dirancang untuk trojanize file sistem REDCap yang sah.

Mekanisme Infeksi

┌──────────────────────────────────────┐
│ 1. AKSES AWAL                         │
│   - Eksploitasi kerentanan REDCap     │
│   - Credential yang bocor/dicuri      │
└───────────────┬──────────────────────┘
                ▼
┌──────────────────────────────────────┐
│ 2. DEPLOY INFINITERED                 │
│   - Ganti file sistem REDCap         │
│     dengan versi yang di-trojanize   │
│   - Hijack proses upgrade REDCap     │
└───────────────┬──────────────────────┘
                ▼
┌──────────────────────────────────────┐
│ 3. PERSISTENCE                        │
│   - Malware survive restart & update │
│   - HTTP cookie-based C2 command     │
└───────────────┬──────────────────────┘
                ▼
┌──────────────────────────────────────┐
│ 4. CREDENTIAL HARVESTING              │
│   - Tangkap semua login ke REDCap    │
│   - Kumpulkan kredensial peneliti    │
└───────────────┬──────────────────────┘
                ▼
┌──────────────────────────────────────┐
│ 5. EKSFILTRASI DATA                   │
│   - Query SQL arbitrer               │
│   - Download file/database           │
│   - Upload payload tambahan          │
└──────────────────────────────────────┘

Kemampuan InfiniteRed

# Perintah C2 via HTTP Cookie (tersembunyi)
Cookie: session=...; cmd=sql_query; target=clinical_trials_2024

# Kemampuan yang didukung:
- Remote command execution
- Arbitrary SQL query
- File upload & download
- Credential harvesting (login form interception)
- Hijack REDCap upgrade process untuk persistence
- Modular payload deployment

Sistem C2 berbasis HTTP cookie sangat sulit dideteksi karena lalu lintasnya terlihat seperti traffic web normal — cookie adalah bagian standar dari setiap request HTTP.

Teknik Eksfiltrasi yang Canggih

Salah satu aspek paling inovatif dari operasi UNC6508 adalah teknik eksfiltrasi data mereka yang memanfaatkan Content Compliance Rules — fitur sah di platform produktivitas enterprise seperti Microsoft 365 dan Google Workspace.

Bagaimana Ini Bekerja?

Setelah mendapatkan akses ke email institusi (melalui kredensial yang dicuri dari REDCap atau lateral movement)
Attacker membuat compliance rule otomatis yang memindai isi email
Setiap email yang mengandung kata kunci spesifik (misalnya: “clinical trial protocol”, “drone navigation”, “AI model weights”) otomatis di-forward ke akun eksternal milik attacker

┌─────────────────────────────────────────┐
│  COMPLIANCE RULE (MALICIOUS)            │
│                                          │
│  IF email contains:                      │
│    "clinical trial" OR "research data"   │
│    OR "patent pending" OR "classified"   │
│    OR "drone" OR "AI model"              │
│  THEN:                                   │
│    Auto-forward to:                      │
│    external-research@mail-provider[.]com │
│    AND delete from Sent Items            │
└─────────────────────────────────────────┘

Teknik ini sangat cerdas karena:

Menggunakan fitur resmi — tidak ada malware yang terlibat dalam eksfiltrasi
Tidak mencurigakan — compliance rules adalah konfigurasi normal di enterprise
Otomatis dan persisten — terus berjalan tanpa intervensi manual
Selektif — hanya mencuri email yang benar-benar bernilai, mengurangi noise

Apa yang Dicuri?

Berdasarkan analisis GTIG, UNC6508 mencari data di bidang-bidang strategis:

Bidang	Jenis Data yang Ditargetkan
Riset Medis	Data uji klinis, formula obat, hasil penelitian biomedis, data pasien
AI & ML	Model weights, arsitektur neural network, dataset training
Drone	Spesifikasi teknis, navigasi, sistem kontrol
Militer	Kesiapan militer, logistik, teknologi pertahanan
Geo-strategis	Analisis kebijakan, studi keamanan nasional, hubungan internasional

Infrastruktur dan Operational Security

UNC6508 menunjukkan operational security (OpSec) tingkat tinggi:

Residential proxy — menggunakan IP rumahan untuk menyamarkan traffic C2
Compromised routers — router rumahan yang dibajak sebagai hop perantara
Dedicated servers — infrastruktur yang disewa khusus untuk setiap operasi
Multi-hop chain — traffic melewati beberapa lapis sebelum mencapai tujuan
Enkripsi end-to-end — komunikasi C2 dienkripsi penuh

[UNC6508 Operator]
        │
        ▼ (VPN)
[Residential Proxy Pool]  ← IP rumahan berbagai negara
        │
        ▼
[Compromised Router]      ← Router rumahan yang dibajak
        │
        ▼
[Dedicated C2 Server]     ← Disewa dengan identitas palsu
        │
        ▼ (HTTPS + Cookie C2)
[REDCap Server Korban]

Timeline Serangan

Tanggal	Peristiwa
September 2023	Bukti kompromi tertua — UNC6508 menyusup ke server REDCap pertama
2024 - 2025	Operasi berlangsung tanpa terdeteksi — eksfiltrasi data bertahap
November 2025	Google Threat Intelligence mengidentifikasi pola aktivitas mencurigakan
Juni 2026	GTIG mempublikasikan temuan, mengungkap InfiniteRed dan UNC6508
Juni 2026	Notifikasi ke institusi terdampak, distribusi IOC dan YARA rules

Dampak Geopolitik dan Keamanan

Operasi UNC6508 memiliki implikasi serius:

Perlombaan teknologi — data riset medis dan AI yang dicuri dapat mempercepat pengembangan teknologi di China
Keunggulan militer — informasi kesiapan militer dan teknologi pertahanan adalah aset strategis
Kepercayaan akademik — kolaborasi riset internasional bisa terganggu oleh ketakutan spionase
Kepatuhan regulasi — institusi bisa melanggar HIPAA, GDPR, atau regulasi ekspor teknologi

Langkah Mitigasi untuk Institusi Riset

Untuk Administrator REDCap

Upgrade REDCap — pastikan menggunakan versi terbaru dengan patch keamanan terkini
Hapus atau isolasi instance legacy — server REDCap versi lama adalah target utama
Audit file integrity — verifikasi integritas file aplikasi secara berkala, terutama sebelum dan sesudah upgrade
Monitor file modification — deteksi perubahan tidak sah pada file sistem REDCap

Untuk Tim Keamanan

Implementasikan MFA phishing-resistant — FIDO2/WebAuthn untuk semua akun peneliti
Device Bound Session Credentials (DBSC) — cegah session hijacking
Audit compliance rules — periksa aturan forwarding email secara berkala
Monitor traffic outbound — deteksi pola eksfiltrasi data mencurigakan
Segmentasi jaringan — pisahkan server riset dari jaringan korporat utama
Threat hunting proaktif — cari indikator keberadaan InfiniteRed menggunakan YARA rules dari Google

Kesimpulan

UNC6508 dan malware InfiniteRed adalah contoh sempurna tentang bagaimana spionase siber modern beroperasi: sabar, presisi, dan nyaris tak terlihat. Selama lebih dari dua tahun, kelompok ini leluasa menyedot data riset strategis dari institusi-institusi top di Amerika Utara tanpa terdeteksi.

Bagi institusi riset di seluruh dunia — termasuk Indonesia yang semakin aktif dalam penelitian medis dan AI — pelajaran dari UNC6508 sangat jelas: data riset adalah target spionase level negara. Sistem seperti REDCap yang mungkin dianggap “hanya tools administrasi” oleh peneliti bisa menjadi pintu masuk bagi operasi pencurian intelektual berskala geopolitik.

Pertanyaan yang harus diajukan setiap direktur riset: apakah server REDCap Anda sudah diaudit keamanannya dalam 6 bulan terakhir? Jika belum, bisa jadi Anda sudah menjadi korban — hanya belum mengetahuinya.

Artikel ini disusun berdasarkan laporan Google Threat Intelligence Group (GTIG), BleepingComputer, SecurityWeek, dan CSO Online per Juni 2026.