Komunitas keamanan siber internasional kembali digemparkan oleh tantangan menarik dari BroncoCTF yang memanfaatkan fitur tersembunyi dalam perangkat lunak grafis populer Krita. Seorang peneliti keamanan dengan nama samaran exploitnotes mempublikasikan analisis mendalam tentang bagaimana sebuah file artefak bernama Bundle_99 ternyata menyimpan flag kompetisi di dalam metadata kuas kustom yang dibuat menggunakan fitur text brush milik Krita. Temuan ini menyoroti betapa kreatifnya penyembunyian data dalam format file yang tampak biasa saja.
Proses analisis dimulai dengan identifikasi tipe file menggunakan perintah standar Linux. File Bundle_99 yang tidak memiliki ekstensi yang berguna ternyata terdeteksi sebagai arsip ZIP dengan tipe MIME application/x-krita-resourcebundle. Petunjuk ini langsung mengarah pada fakta bahwa file tersebut adalah resource bundle milik Krita — format standar yang digunakan aplikasi lukis digital open source ini untuk memaketkan preset kuas, pola, dan aset lainnya guna dibagikan antar pengguna.
Ekstraksi arsip mengungkap struktur yang mirip dengan format keluarga OpenDocument. Di dalamnya terdapat file mimetype, manifest XML di direktori META-INF, serta payload aset berupa file preset kuas bernama Brush 99.kpp, gambar preview.png, dan metadata bundle. Pemeriksaan awal pada meta.xml dan manifest.xml tidak menunjukkan adanya flag, hanya berisi placeholder penulis, lisensi, dan checksum MD5 untuk file preset tunggal. Pencarian rekursif dengan grep untuk awalan flag bronco{} pun tidak memberikan hasil, menandakan flag tidak tersimpan sebagai teks biasa di sistem file.
Langkah krusial berikutnya adalah mengidentifikasi tipe sebenarnya dari file .kpp. Meskipun berekstensi proprietary milik Krita, alat file mengungkap kebenaran: Brush 99.kpp sebenarnya adalah gambar PNG berukuran 200x200 piksel dengan kedalaman warna 8-bit RGBA. Arsitektur preset kuas Krita memang dirancang menyimpan thumbnail sebagai gambar PNG sebenarnya, sementara seluruh konfigurasi parameter paintop — mulai dari ukuran, spacing, kurva opasitas, kurva sensor, hingga konfigurasi masking brush — disimpan sebagai XML di dalam chunk metadata teks PNG. Inilah titik masuk yang dieksploitasi oleh pembuat tantangan.
Penggunaan exiftool untuk mengekstrak metadata tertanam mengungkap blok XML Preset yang sangat panjang, berisi ratusan parameter paintop yang sebagian besar bersifat noise atau pengaturan standar. Namun, di antara kerumitan itu terdapat dua parameter brush_definition yang mencolok. Yang pertama bertipe auto_brush, yaitu kuas prosedural lingkaran standar yang berfungsi sebagai decoy. Yang kedua justru bertipe kis_text_brush — fitur kuas teks khas Krita yang merender string literal sebagai bentuk stempel kuas, bukan tip yang dihasilkan secara prosedural.
Pada parameter kis_text_brush inilah flag tersembunyi dengan jelas di atribut text: text="bronco{REDACTED}". Mekanisme penyembunyian ini cerdas karena memanfaatkan fitur first-class Krita yang memungkinkan pengguna mengetik teks sembarang untuk dibuat sebagai bentuk kuas kustom. Pembuat tantangan sengaja membuat preset yang tidak dimaksudkan untuk melukis, melainkan sebagai wadah tersembunyi untuk flag. Teknik ini menunjukkan pemahaman mendalam tentang struktur internal format file aplikasi kreatif.
Dari perspektif forensik digital dan analisis malware, kasus ini menjadi pelajaran berharga tentang bagaimana data sensitif dapat disisipkan ke dalam metadata format file yang jarang diperiksa. Format berbasis ZIP dengan metadata XML tertanam — seperti ODT, ODS, DOCX, dan kini .bundle Krita — semuanya rentan terhadap teknik steganografi serupa. Analis keamanan di Indonesia perlu menyadari bahwa pemeriksaan ekstensi file dan header saja tidak cukup; ekstraksi dan parsing metadata mendalam wajib menjadi bagian dari prosedur standar operasi incident response dan threat hunting.
Lebih luas lagi, temuan ini menggarisbawahi pentingnya keahlian reverse engineering format file proprietary dan semi-proprietary dalam industri keamanan siber. Banyak aplikasi industri kreatif, arsitektur, dan rekayasa menggunakan format kontainer kompleks yang menyimpan metadata kaya. Kemampuan memahami struktur internal format seperti Krita resource bundle, Blender .blend, atau AutoCAD .dwg memberikan keunggulan signifikan bagi tim blue team dalam mendeteksi eksfiltrasi data tersembunyi maupun red team dalam mensimulasikan teknik evasion yang realistis. Investasi pada pelatihan analisis format file seharusnya diprioritaskan dalam kurikulum keamanan siber di perguruan tinggi dan sertifikasi profesional di Indonesia.