AoTR2 — Operation Winter Blackout

Investigasi Forum Kriminal dan Rekonstruksi Rencana Operasi

Operation Winter Blackout melanjutkan investigasi dari temuan sebelumnya, di mana sebuah serangan phishing membuka akses menuju forum kriminal privat. Forum tersebut menjadi pusat komunikasi kelompok yang telah merencanakan operasi besar selama berbulan-bulan.

Berbeda dari tahap pertama yang berfokus pada analisis email dan infrastruktur malware, tahap ini beralih pada analisis komunikasi internal pelaku. Fokus investigasi tidak lagi sebatas domain C2 atau script berbahaya, tetapi mencakup identitas anggota, struktur organisasi, target serangan, logistik operasional, hingga rencana pelarian.

Lab ini menekankan pentingnya kemampuan membaca pola komunikasi, memahami konteks percakapan, serta menghubungkan informasi teknis dengan rencana operasional di dunia nyata. Setiap detail kecil dalam forum memiliki nilai intelijen yang signifikan.

Penyelesaian

Link Web Forum: **https://advent-of-the-relics-forum.htb.blue Pass: SnowBlackOut_2026**

Pertanyaan 1

How many suspects are using this forum?

Setelah berhasil login ke forum menggunakan password yang diperoleh dari investigasi sebelumnya, langkah pertama adalah mengidentifikasi seluruh akun yang aktif dalam diskusi operasional. Pemeriksaan dilakukan dengan melihat daftar anggota serta username yang terlibat dalam thread utama perencanaan. Dengan menghitung seluruh akun unik yang berpartisipasi aktif dalam percakapan, diperoleh total lima pengguna yang terlibat dalam operasi tersebut.

Pertanyaan 2

What is the username of the group’s leader?

Setelah berhasil login ke forum menggunakan password yang diperoleh dari investigasi sebelumnya, langkah pertama adalah mengidentifikasi seluruh akun yang aktif dalam diskusi operasional. Pemeriksaan dilakukan dengan melihat daftar anggota serta username yang terlibat dalam thread utama perencanaan. Dengan menghitung seluruh akun unik yang berpartisipasi aktif dalam percakapan, diperoleh total lima pengguna yang terlibat dalam operasi tersebut.

Pertanyaan 3

What is Driver_BUD’s real first name?

Identifikasi nama asli dilakukan dengan menelusuri percakapan yang mengandung informasi personal. Dalam diskusi yang bersifat lebih santai maupun operasional, ditemukan penyebutan nama asli Driver_BUD oleh anggota lain. Dari konteks tersebut diketahui bahwa nama depan sebenarnya adalah Daniel.

Pertanyaan 4

What is the codename of the operation?

Nama operasi biasanya disebut secara eksplisit dalam diskusi perencanaan awal. Dengan menelusuri thread yang membahas tujuan besar kelompok, ditemukan penyebutan resmi nama operasi yang digunakan secara konsisten dalam berbagai percakapan, yaitu Winter Blackout.

Pertanyaan 5

What single word is the trigger code that activates all nodes?

Pencarian dilakukan pada thread teknis yang membahas aktivasi sistem dan sinkronisasi aksi. Dalam diskusi tersebut terdapat satu kata yang disebut sebagai pemicu serentak untuk mengaktifkan seluruh node atau sistem yang telah dipersiapkan. Kata tunggal tersebut adalah FROST, yang berfungsi sebagai trigger utama.

Pertanyaan 6

What is the name of the fake exhibition used as cover for the heist?

Dalam percakapan mengenai strategi penyamaran, ditemukan pembahasan tentang sebuah acara publik yang digunakan sebagai kedok operasional. Nama acara tersebut disebut sebagai bagian dari rencana pengalihan perhatian dan legitimasi aktivitas kelompok. Pameran palsu tersebut bernama Miracles of Winter.

Pertanyaan 7

What time was the single word trigger scheduled to execute on New Year’s Eve?

Analisis timeline dilakukan dengan membaca diskusi yang membahas detail eksekusi pada malam Tahun Baru. Dalam thread tersebut tercantum waktu yang sangat spesifik untuk pengaktifan trigger. Waktu yang dijadwalkan adalah 23:59:50, hanya beberapa detik sebelum pergantian tahun.

Pertanyaan 8

What is the full name of the phishing target at CALE?

Penyelidikan terhadap target serangan dilakukan dengan mencari percakapan mengenai spear phishing. Dalam diskusi tersebut disebutkan nama lengkap individu yang menjadi target awal kompromi di organisasi CALE. Nama lengkap yang tercantum adalah Kamil Poltavez.

Pertanyaan 9

What make and model is the truck used for transport?

Informasi kendaraan diperoleh dari thread yang membahas logistik transportasi. Dalam percakapan tersebut disebutkan secara spesifik merek dan model truk yang akan digunakan sebagai sarana distribusi dan penyamaran operasional. Kendaraan yang digunakan adalah Volvo FH.

Pertanyaan 10

What is the name of Ledgers cat?

Informasi terkait kucing Ledgers dapat ditemukan pada bio atau informasi nya di Members

Pertanyaan 11

What is the primary C2 domain used for beacon check-ins?

Diskusi teknis mengenai infrastruktur digital mengungkap domain yang digunakan sebagai server Command and Control untuk beacon check-in. Domain yang disebutkan secara eksplisit dalam forum adalah health-status-rs.com, yang konsisten dengan temuan sebelumnya.

Pertanyaan 12

In which city is the VPS server hosting the C2 panel?

Lokasi server VPS diidentifikasi melalui percakapan tentang hosting panel C2. Dalam diskusi tersebut disebutkan kota tempat server di-host. Kota yang tercantum adalah Kragujevac, yang menjadi bagian penting dalam pemetaan infrastruktur.

Pertanyaan 13

On what date did the C2 listeners go live?

Timeline aktivasi listener ditemukan dalam diskusi teknis mengenai kesiapan infrastruktur. Tanggal yang disebut sebagai awal aktifnya listener C2 adalah 2025–11–12, menunjukkan bahwa persiapan dilakukan jauh sebelum eksekusi utama.

Pertanyaan 14

In which city is the document forger located?

Informasi tentang pemalsu dokumen diperoleh dari thread yang membahas penyediaan dokumen pendukung operasi. Dalam percakapan tersebut disebutkan lokasi geografis individu yang bertanggung jawab atas pemalsuan dokumen, yaitu Bucharest.

Pertanyaan 15

What shell company was used as a backup cover story?

Strategi cadangan dibahas dalam thread mengenai skenario jika terjadi pemeriksaan administratif. Dalam diskusi tersebut disebutkan nama perusahaan cangkang yang disiapkan sebagai alibi tambahan, yaitu Danube Event Solutions Ltd.

Pertanyaan 16

What is the filename of the wipe script used to destroy evidence?

Pada pembahasan mengenai penghapusan jejak digital, ditemukan penyebutan script yang digunakan untuk menghancurkan bukti setelah operasi selesai. Nama file yang disebutkan secara eksplisit adalah burn_cycle.sh.

Pertanyaan 17

What is the name of the escape vessel?

Rencana pelarian melalui jalur laut dibahas dalam thread khusus terkait protokol ekstraksi. Dalam percakapan tersebut disebutkan nama kapal yang akan digunakan sebagai sarana pelarian, yaitu Adriatic Wind.

Pertanyaan 18

What is the captain’s name?

Masih dalam diskusi pelarian, ditemukan penyebutan nama kapten yang bertanggung jawab atas navigasi kapal. Nama kapten yang disebut adalah Stavros.

Pertanyaan 19

What are the GPS coordinates of the emergency extraction point for Driver_BUD?

Koordinat titik ekstraksi darurat diperoleh dari thread yang membahas skenario cadangan apabila rencana utama terganggu. Koordinat di ubah menjadi 3 kata.

Tools: https://what3words.com/

Kemudian 3 kata tadi dimasukan dan kemudian akan menunjukan tempat yang dimaksud. Selanjutnya naviagasikan titik via gmaps

https://what3words.com/

Pada gmaps, ambil lattitude dan logtitude

Pertanyaan 20

What are the GPS coordinates of the farmhouse hideout?

Lokasi persembunyian akhir ditemukan dalam percakapan mengenai tempat aman setelah operasi selesai. Koordinat farmhouse hideout yang disebutkan secara lengkap adalah 43.84947615369828, 20.92715775614975.

Penutup

Operation Winter Blackout menggambarkan bagaimana serangan siber modern sering kali terintegrasi dengan operasi fisik yang dirancang secara matang. Phishing menjadi pintu masuk, forum privat menjadi ruang koordinasi, dan infrastruktur C2 menjadi alat kendali teknis.

Rangkaian temuan menunjukkan bahwa operasi ini dirancang secara sistematis, bukan tindakan impulsif. Timeline, koordinat geografis, identitas individu, hingga detail personal anggota membentuk gambaran lengkap mengenai skala dan kompleksitas rencana.

Lab ini memperkuat pemahaman bahwa investigasi siber tidak hanya berfokus pada artefak teknis, tetapi juga pada analisis komunikasi, perilaku, serta korelasi antar informasi. Kemampuan merekonstruksi alur perencanaan dari data percakapan menjadi keterampilan penting dalam menghadapi kasus serupa di dunia nyata.