Telset.id – Kelompok peretas negara Rusia yang dikenal sebagai Midnight Blizzard atau APT29 kini menyerang perangkat captive portal di hotel dan pusat konferensi untuk mencuri kredensial serta menyebarkan malware pencuri informasi. Temuan ini diungkapkan oleh peneliti Microsoft dalam laporan terbaru mereka.
Serangan ini menyasar pengguna Wi-Fi publik yang tidak mencurigai bahwa halaman login yang mereka hadapi telah disusupi. Alih-alih terhubung ke jaringan internet, korban justru diarahkan ke portal phishing Microsoft 365 palsu atau halaman pembaruan sistem yang mengandung malware.
Modus Serangan APT29 pada Captive Portal
Captive portal adalah perangkat keras dan perangkat lunak jaringan yang mengelola halaman login yang dilihat pengguna sebelum mengakses Wi-Fi publik. Saat terhubung ke jaringan hotel, pengguna biasanya diarahkan ke halaman untuk memasukkan nomor kamar, menyetujui persyaratan layanan, dan mengklik “Connect”. Proses pengalihan inilah yang dikelola oleh captive portal.
Microsoft tidak menjelaskan secara rinci bagaimana perangkat ini diserang. Namun, ketika pengguna mencoba masuk di jaringan yang telah dikompromikan, mereka dapat diarahkan ke portal login Microsoft 365 palsu yang mencuri kredensial mereka. Selain itu, korban juga bisa diarahkan ke halaman phishing kode perangkat yang menyalahgunakan alur autentikasi Microsoft Entra ID.
Peneliti juga menemukan captive portal yang digunakan untuk menampilkan halaman pembaruan browser dan sistem operasi palsu. Halaman ini dirancang untuk mengelabui korban agar mengunduh malware infostealer.
Dua varian malware ditemukan dalam serangan ini: CornFlake dan CocoShell. CornFlake berfungsi sebagai infostealer yang mampu mengambil rekaman penekanan tombol (keystrokes), data clipboard, akses remote shell, tangkapan layar, serta menggunakan mikrofon dan webcam. Malware ini juga dapat mencuri kredensial browser, cookie, dan mengeksfiltrasi file. CornFlake menyamar sebagai “Cloud Sync Service” dengan menggunakan beberapa mekanisme persistensi.
Sementara itu, CocoShell adalah pencuri kredensial PowerShell in-memory yang menargetkan cookie browser, kata sandi tersimpan, token Microsoft 365 dan Azure AD, serta kredensial Wi-Fi.
Profil APT29 dan Implikasinya bagi Pengguna Wi-Fi Publik
APT29 merupakan salah satu aktor state-sponsored yang paling banyak terdokumentasi. Kelompok ini telah aktif selama bertahun-tahun dan dikenal memiliki keterkaitan dengan Dinas Intelijen Luar Negeri Rusia (SVR). Mereka pernah melakukan serangan terhadap pejabat pemerintah AS dan Jerman, serta terlibat dalam insiden SolarWinds dan serangan terhadap Microsoft.
Serangan terbaru ini menunjukkan bahwa APT29 terus mengembangkan metode baru untuk menjangkau korban. Dengan menyerang captive portal di hotel dan pusat konferensi, mereka memanfaatkan momen ketika pengguna paling rentan, yaitu saat mencoba mengakses internet di lingkungan yang dianggap tepercaya.
Bagi para pelancong bisnis dan pengguna Wi-Fi publik lainnya, temuan ini menjadi peringatan penting. Pengguna harus selalu waspada terhadap halaman login yang tampak mencurigakan dan memastikan koneksi mereka aman sebelum memasukkan informasi sensitif. Serangan pencurian kredensial seperti ini semakin canggih dan sulit dideteksi.
Meskipun Microsoft belum merinci teknik serangan terhadap perangkat captive portal, pengguna disarankan untuk berhati-hati saat menggunakan Wi-Fi publik. Memverifikasi keaslian halaman login dan menghindari memasukkan kredensial penting di jaringan yang tidak dikenal adalah langkah pencegahan dasar yang perlu dilakukan.
Ke depannya, pengelola hotel dan pusat konferensi perlu meningkatkan keamanan perangkat captive portal mereka untuk mencegah penyusupan lebih lanjut. Sementara itu, pengguna tetap perlu waspada terhadap perkembangan terbaru dalam dunia keamanan siber untuk melindungi data pribadi mereka.
Komentar
Belum ada komentar.