Telset.id – Microsoft memperingatkan kampanye peretasan aktif yang berawal dari pesan Teams dan berakhir dengan infeksi ransomware serta pencurian data. Dalam laporan terbaru di blog Microsoft, pelaku ancaman yang tidak disebutkan namanya menghubungi target di berbagai perusahaan melalui chat Teams dengan menyamar sebagai staf IT.
Para pelaku memaksa korban memberikan akses jarak jauh melalui berbagi layar atau alat monitoring dan manajemen jarak jauh. Setelah akses diterima, mereka menggunakan kesempatan itu untuk menginstal malware loader dan berbagai implant lainnya. Serangan ini menargetkan lingkungan enterprise yang rentan terhadap rekayasa sosial.
Malware hanyalah tahap pertama dari serangan ini. Tahap berikutnya mencakup pengintaian host, penemuan produk keamanan dan virtualisasi, serta “pengambilan layar desktop secara berkala”. Dengan kata lain, pelaku memetakan lanskap jaringan dan melakukan espionase sebelum melancarkan serangan lebih lanjut.
Baca Juga:
Penjahat siber kemudian menghitung akun domain, server, dan pengguna melalui alat bawaan serta kueri Active Directory Service Interfaces (ADSI), lalu mulai bergerak secara lateral di dalam jaringan korban. Langkah terakhir mencakup identifikasi dan ekstraksi data berharga, yang kemudian diikuti dengan infeksi ransomware.
Teknik Serangan yang Digunakan Berbagai Kelompok Peretas
Microsoft tidak menyebutkan nama pelaku dan sebagian besar merujuk mereka sebagai “threat actors”. Hal ini masuk akal karena teknik “dukungan IT palsu via Teams” sedang digunakan oleh beberapa kelompok saat ini. Contoh paling jelas termasuk Cozy Bear dari Rusia, FIN7, dan Storm-1811.
ShinyHunters, kelompok pemeras terbesar di dunia, juga dikenal menggunakan Teams untuk mengelabui korban agar memberikan akses. Namun, kelompok ini jarang menggunakan encryptor dan lebih fokus pada eksfiltrasi data saja. Hal ini menunjukkan variasi tujuan serangan meskipun menggunakan metode awal yang serupa.
Risiko di lingkungan enterprise saat ini tidak pernah lebih besar. Microsoft menyarankan penguatan edukasi pengguna dengan menetapkan frasa autentikasi helpdesk internal dan melatih karyawan mengenali indikator penyewa eksternal. Perusahaan juga didesak untuk memverifikasi kontak dukungan yang tidak diminta serta memperkuat Microsoft Teams dan email terhadap rekayasa sosial.
Microsoft merekomendasikan penggunaan Microsoft Defender for Office 365 dengan Safe Links dan Zero-hour auto purge (ZAP) agar pesan dan URL berbahaya dinetralkan saat diklik dan dihapus setelah pengiriman. Rekomendasi ini sejalan dengan pentingnya memperbarui strategi keamanan secara berkala, termasuk strategi keamanan untuk menghadapi berbagai vektor serangan baru.
Kampanye serangan ini menunjukkan bagaimana platform komunikasi populer seperti Teams dapat menjadi pintu masuk bagi pelaku kejahatan siber. Perusahaan perlu mewaspadai bahwa pesan dari pihak yang mengaku sebagai staf IT belum tentu dapat dipercaya, terutama jika datang dari penyewa eksternal. Pelatihan karyawan menjadi pertahanan lini pertama yang krusial.
Insiden ini juga mengingatkan bahwa kebocoran data cloud dapat terjadi melalui berbagai jalur, termasuk rekayasa sosial yang menargetkan pengguna akhir. Kombinasi antara teknologi keamanan yang mumpuni dan kesadaran pengguna menjadi kunci dalam mencegah serangan semacam ini.
Dengan meningkatnya kompleksitas serangan siber, perusahaan harus memastikan bahwa setiap lapisan pertahanan diperkuat. Verifikasi identitas, pelatihan keamanan, dan penggunaan alat keamanan yang tepat menjadi langkah penting yang perlu segera diimplementasikan oleh setiap organisasi yang menggunakan Microsoft Teams dalam operasional sehari-hari.
Komentar
Belum ada komentar.