Finspy

Konteks Etis & Legal

FinSpy (sebelumnya FinFisher) adalah perangkat lunak pengawasan komersial yang dipasarkan oleh perusahaan Jerman (Gamma International, kemudian dipisahkan). Seluruh informasi di bawah bersumber dari publikasi terbuka: WikiLeaks (Spy Files), Citizen Lab, Amnesty International, analisis antivirus, dan dokumen forensik publik. Pembahasan ini murni edukasional dan defensif. Penggunaan tanpa otorisasi terhadap sistem milik orang lain adalah ilegal. Tujuannya adalah agar pembaca dapat memahami ancaman, mendeteksi infeksi, dan melindungi sistem.

🧬 Apa Itu FinSpy?

FinSpy adalah suite pengawasan modular yang dikembangkan oleh perusahaan Jerman Gamma Group (dipasarkan melalui anak perusahaan FinFisher GmbH). Berbeda dengan Pegasus yang berfokus pada mobile 0-click, FinSpy adalah platform multi-platform yang sangat invasif untuk Windows, macOS, Linux, iOS, Android, dan bahkan perangkat BlackBerry serta Symbian (legacy). FinSpy telah dijual ke puluhan pemerintah di seluruh dunia dan telah digunakan untuk menargetkan aktivis, jurnalis, oposisi politik, dan pengacara.

FinSpy terkenal karena kemampuannya yang lengkap pada desktop (Windows/macOS), di mana ia dapat:

Merekam panggilan Skype, WhatsApp, Viber, Telegram, Signal (sebelum E2EE menjadi standar).
Menangkap layar (screenshot periodik).
Keylogging real-time.
Mengakses webcam dan mikrofon.
Mengekstrak file dari hard disk.
Memonitor traffic jaringan.

Untuk mobile, FinSpy dapat menginfeksi perangkat melalui spear-phishing SMS/email, social engineering, fake apps, dan exploit lokal setelah akses fisik (jailbreak/rooting paksa).

Perbandingan dengan Pegasus

Aspek	Pegasus (NSO Group)	FinSpy (Gamma/FinFisher)
Fokus	Mobile (iOS/Android) zero-click exploit	Multi-platform (desktop & mobile) dengan berbagai vektor infeksi
Vektor Infeksi	0-click via iMessage/WhatsApp, network injection	Phishing, fake apps, exploit lokal, social engineering, physical access
Desktop Support	Tidak (fokus mobile)	Ya, sangat kuat: Windows, macOS, Linux
Panggilan VoIP	Rekam panggilan reguler	Rekam panggilan Skype, WhatsApp, Viber, Telegram (real-time interception)
Harga	Sangat mahal (lisensi puluhan juta USD)	Mahal, tetapi lebih terjangkau dari Pegasus
Penyebaran	Intelijen negara tingkat tinggi	Digunakan oleh banyak negara termasuk rezim otoriter dengan anggaran lebih rendah
Deteksi Publik	Banyak (Citizen Lab, Amnesty)	Banyak (Wikileaks Spy Files, Kaspersky, ESET)

🏗️ Arsitektur FinSpy: Modular Surveillance Suite

FinSpy bukan hanya satu malware, melainkan sistem pengawasan terpusat dengan arsitektur client-server:

┌──────────────────────────────────────────────────────────────┐
│                  FinSpy Master Server                          │
│  (Control Center)                                             │
│  - Mengelola semua agen yang terinfeksi                       │
│  - Mengumpulkan data (audio, video, file, log)                │
│  - Antarmuka operator untuk pencarian dan analisis            │
│  - Dapat diinstal pada infrastruktur cloud atau on-premise    │
└───────────────────────────┬──────────────────────────────────┘
                            │
         ┌──────────────────┼──────────────────┐
         ▼                  ▼                  ▼
┌────────────────┐ ┌────────────────┐ ┌────────────────┐
│  FinSpy Agent  │ │  FinSpy Agent  │ │  FinSpy Agent  │
│  (Windows)     │ │  (macOS)       │ │  (Mobile)      │
│  - Keylogger   │ │  - Keylogger   │ │  - SMS/call    │
│  - Webcam/mic  │ │  - Webcam/mic  │ │  - GPS tracking│
│  - VoIP inter. │ │  - File exfil  │ │  - Ambient rec │
│  - File exfil  │ │  - Screenshot  │ │  - File exfil  │
└────────────────┘ └────────────────┘ └────────────────┘
                            │
                            ▼
┌──────────────────────────────────────────────────────────────┐
│                  FinSpy Relays / Proxies                       │
│  - Untuk menyembunyikan lokasi Master Server                  │
│  - Dapat berupa server HTTP, SMTP, atau VPN                   │
│  - Komunikasi terenkripsi (AES, RSA)                          │
└──────────────────────────────────────────────────────────────┘

Komponen Utama

Komponen	Fungsi
Master Server	Backend utama, antarmuka operator, penyimpanan data.
Relay Server	Proxy antara agen dan master untuk menyembunyikan infrastruktur C2.
Agent/Implant	Malware yang diinstal pada perangkat target. Platform-spesifik.
Builder/Generator	Alat untuk membuat implant kustom dengan konfigurasi (C2, modul aktif, stealth).
FinSpy Mobile Suite	Modul untuk infeksi mobile, termasuk exploit dan fake apps.
FinSpy Network Appliance (opsional)	Untuk intercept traffic jaringan di level ISP.

💀 Infeksi Windows: Mekanisme dan Kemampuan

FinSpy untuk Windows adalah salah satu yang paling komprehensif. Vektor infeksi:

1. Delivery & Installation

Spear-phishing: Email dengan lampiran (DOC, PDF, ZIP) yang mengandung exploit atau makro berbahaya.
Fake software updates: Pesan pop-up yang meniru Flash Player, Java, atau software populer lainnya.
Watering hole: Website yang dikompromikan dan menyajikan exploit browser.
Physical access: Agen memasukkan USB dengan installer FinSpy yang menyamar sebagai file lain.

2. Kernel Driver & Stealth

FinSpy menginstal kernel driver untuk:

Menyembunyikan file, proses, kunci registry, dan koneksi jaringan dari OS.
Melindungi implant dari di-uninstall.
Mem-bypass antivirus dan EDR.
Meng-intercept panggilan sistem untuk menyadap komunikasi.

Driver ini ditandatangani dengan sertifikat digital (seringkali dicuri atau dibeli dari CA tidak ketat). Pada Windows 64-bit, driver harus ditandatangani, dan Gamma berhasil mendapatkannya.

3. Modul Utama (Windows)

Modul	Kemampuan
Keylogger	Rekam setiap ketukan keyboard, termasuk password dan chat.
Screenshot	Ambil screenshot desktop setiap X detik/menit.
Webcam/Mic	Aktifkan webcam dan mikrofon secara diam-diam, streaming audio/video ke server.
File Exfiltration	Cari dan unggah file berdasarkan ekstensi, path, atau kata kunci.
VoIP Interception	Fitur unggulan: Merekam percakapan Skype, WhatsApp Desktop, Viber, Telegram, Signal (sebelum E2EE penuh), dan aplikasi VoIP lainnya dengan mengaitkan API audio.
Network Traffic	Menangkap dan menganalisis traffic jaringan target (termasuk URL, kredensial, cookie).
Password Stealer	Ekstrak password dari browser, email client, FTP client.
Live Surveillance	Operator dapat mengaktifkan streaming real-time dari mikrofon, webcam, atau layar.
GPS/Location	(Untuk laptop dengan sensor GPS atau via WiFi triangulation).

4. Komunikasi C2

Terenkripsi: AES-256, RSA-4096.
Protokol: HTTP/S, SMTP (email), atau protokol kustom.
Domain fronting dan relay untuk menyembunyikan server utama.
Dapat menggunakan covert channels seperti DNS tunneling.

🍎 FinSpy untuk macOS

FinSpy untuk macOS memiliki kemampuan serupa dengan versi Windows tetapi disesuaikan dengan arsitektur macOS:

Persistence: Launch Daemon atau Launch Agent.
Kernel Extension (macOS < 11) atau System Extension (macOS 11+) untuk stealth.
Bypass SIP: Pada versi lama, mengeksploitasi kelemahan untuk menonaktifkan System Integrity Protection.
Keylogging: Menggunakan event tap API.
Webcam/Mic: Menggunakan AVFoundation dan CoreAudio.
File Exfiltration: Pencarian file dengan metadata tertentu.
VoIP Interception: Sama, merekam percakapan aplikasi komunikasi.

📱 FinSpy untuk Mobile (Android & iOS)

Infeksi

Android:
- Fake apps di Google Play (sering menyamar sebagai aplikasi sistem atau utility).
- APK di luar store via phishing SMS/WhatsApp.
- Exploit lokal setelah mendapatkan akses fisik.
iOS:
- Perangkat harus di-jailbreak atau menggunakan enterprise certificate untuk sideloading.
- Social engineering untuk membuat korban menginstal profil konfigurasi.
- Akses fisik untuk jailbreak (Checkra1n, unc0ver) lalu menginstal implant.

Kemampuan Mobile

Panggilan: Rekam panggilan telepon.
SMS: Intersep dan eksfiltrasi.
Kontak, Kalender, Email, Pesan Instan: Ekstrak dari WhatsApp, Telegram, Signal, Facebook Messenger, dll.
GPS: Lacak lokasi real-time.
Ambient Recording: Aktifkan mikrofon dari jarak jauh.
Kamera: Ambil foto dari kamera depan/belakang.
File: Akses penyimpanan internal.

🕵️‍♂️ Teknik Stealth & Evasion

FinSpy dikenal karena teknik stealth-nya yang canggih:

1. Kernel Driver Hooking (Windows)

Driver FinSpy mengaitkan fungsi kernel (SSDT hooking) untuk menyembunyikan:

Proses implant dari Task Manager dan ps.
File di direktori sistem.
Kunci registry.
Koneksi jaringan (dari netstat).

Ini membuat implant tidak terlihat oleh alat monitoring standar.

2. Bootkit / MBR Infection

Beberapa varian FinSpy menginfeksi Master Boot Record (MBR) untuk memuat sebelum OS, memberikan kontrol penuh dan persistensi yang sangat sulit dihapus.

3. Process Injection

Implant sering menyuntikkan dirinya ke proses sah seperti explorer.exe, svchost.exe, atau browser. Ini menghindari deteksi process-based.

4. Anti-AV / Anti-EDR

FinSpy secara aktif mendeteksi dan menonaktifkan antivirus tertentu (Kaspersky, Bitdefender, ESET, dll.).
Jika terdeteksi, ia dapat berhenti beroperasi untuk menghindari analisis.

5. Network Stealth

Menggunakan HTTPS dengan sertifikat palsu yang tampak sah.
Mengirim data melalui email (SMTP) untuk menghindari deteksi traffic tidak biasa.
Data disamarkan sebagai traffic normal (misal: gambar, JSON API).

🔍 Deteksi FinSpy

Meskipun sangat stealth, FinSpy telah dideteksi oleh peneliti keamanan. Beberapa metode:

1. Deteksi Jaringan

Domain/IP C2: IOC dari kampanye FinSpy sebelumnya. Beberapa server C2 menggunakan domain yang menyamar sebagai update.microsoft.com, adobe.com, dll. (dengan karakter Unicode yang mirip).
SSL/TLS Fingerprint: Sertifikat server FinSpy sering memiliki karakteristik khusus (issuer, SAN, cipher suite).
SMTP Traffic: Data yang dikirim via email dapat terdeteksi dari volume dan pola.

2. Deteksi Endpoint

Antivirus: Produk seperti Kaspersky, ESET, dan Microsoft Defender memiliki signature untuk beberapa varian FinSpy, terutama yang lebih tua.
Rootkit Scanner: Alat seperti GMER, TDSSKiller dapat mendeteksi hook kernel yang mencurigakan.
Behavioral Analysis: EDR dapat mendeteksi aktivitas aneh: proses tanpa file yang mengakses webcam/mikrofon, keylogger API hooking, kernel driver tidak dikenal.
File System: Cek direktori seperti C:\Windows\system32\drivers\ untuk driver yang tidak dikenal. Cek digital signature (sertifikat mencurigakan).

3. Artefak Spesifik

Artefak	Keterangan
Driver files	Nama acak di `System32\drivers`, ditandatangani oleh sertifikat tidak dikenal.
Registry	Key di `HKLM\SYSTEM\CurrentControlSet\Services` untuk driver.
Hidden files	File implant di `%WINDIR%` atau `%APPDATA%` dengan atribut Hidden+System.
Named objects	Event, mutex, atau section dengan nama acak yang dibuat oleh implant.
Network indicators	Koneksi ke IP hardcoded di C2 pada port tidak standar.

4. Alat Deteksi Khusus

FinSpy Scanner: Beberapa organisasi (Amnesty, EFF) merilis alat untuk mendeteksi jejak FinSpy.
Mobile Verification Toolkit (MVT): Untuk mendeteksi indikasi kompromi pada iOS/Android.

↔️ Dual-Use Spectrum

DEFENSE ◄──────────────────────────────────────────► OFFENSE

Law Enforcement           Intelijen Asing         Rezim Otoriter
│                         │                       │
Dengan warrant            Mata-mata               Menargetkan
untuk melacak             terhadap                aktivis HAM,
kriminal serius           diplomat                jurnalis, oposisi
│                         │                       │
│                         │                       ▼
▼                         ▼                       Pelanggaran HAM
Forensik digital:         Operasi                 berat
analisis implant          spionase
untuk atribusi            ekonomi/politik

FinSpy telah dijual ke lebih dari 50 negara, termasuk yang memiliki catatan HAM buruk. Laporan dari Citizen Lab mendokumentasikan penggunaannya terhadap aktivis di Bahrain, Ethiopia, Turki, dan banyak lagi. Gamma Group mengklaim hanya menjual ke pemerintah dengan regulasi ketat, tetapi bukti menunjukkan penyalahgunaan yang luas.

🛡️ Countermeasures

Lapisan	Tindakan
Kesadaran Pengguna	Waspada terhadap phishing, jangan instal aplikasi dari sumber tidak dikenal, jangan klik pop-up “update”.
Endpoint Protection	Gunakan EDR yang mampu mendeteksi kernel hooking, webcam/mic access tanpa izin.
Hardening	Aktifkan Secure Boot, TPM, dan BitLocker. Gunakan WDAC/AppLocker. Matikan ekstensi kernel yang tidak diperlukan.
Network Monitoring	Blokir IOC FinSpy di firewall/proxy. Monitor DNS ke domain mencurigakan.
Mobile	Jangan jailbreak/rooting. Periksa profil konfigurasi iOS yang tidak dikenal. Gunakan Lockdown Mode (iOS 16+).
Incident Response	Jika terdeteksi: isolasi host, jangan restart (untuk preserve memory), ambil image forensik, analisis driver hook.

🔗 Koneksi dalam Vault

pegasus — Keduanya adalah spyware komersial, tetapi FinSpy lebih fokus desktop, Pegasus fokus mobile zero-click.
xkeyscore — Data FinSpy bisa dicegat oleh platform SIGINT jika traffic melewati backbone yang dimonitor.
cobalt-strike — FinSpy untuk desktop memiliki kemampuan post-exploitation yang tumpang tindih dengan Cobalt Strike, tetapi dengan fokus pengumpulan intelijen diam-diam.
cellebrite-ufed — FinSpy bisa digunakan paralel dengan Cellebrite untuk ekstraksi data maksimal.
shodan — Server C2 FinSpy dapat ditemukan jika tidak dikonfigurasi dengan benar (port, sertifikat).

📚 Referensi

Wikileaks, Spy Files 1-4 (2011-2014) — dokumen pemasaran Gamma Group.
Citizen Lab, FinSpy: The Spying Software that Kills (beberapa laporan 2012-2021).
Kaspersky, FinSpy: The Inner Workings of a Government-Sponsored Spyware (2015).
Amnesty International, FinSpy Spyware and Human Rights Abuses.
MITRE ATT&CK: T1056.001 (Input Capture: Keylogging), T1125 (Video Capture), T1055.001 (Process Injection).

FinSpy Deep Dive | Multi-Platform Commercial Spyware | Surveillance & Stealth Techniques

Azhar's Notes

Navigation