Gelombang Serangan yang Dibangun di atas Kepercayaan Sehari-hari

Sepanjang bulan Agustus, peneliti keamanan melacak serangkaian serangan siber di Amerika Serikat dan Eropa yang tidak mengandalkan malware eksotis atau eksploitasi zero-day. Sebaliknya, para penyerang mengubah alat-alat yang digunakan bisnis setiap hari, login Microsoft 365, perangkat lunak pemantauan dan manajemen jarak jauh (RMM), serta dokumen bisnis rutin, menjadi jalur untuk kompromi.

Inilah yang membuat kampanye ini menonjol. Alih-alih menerobos firewall atau mengeksploitasi perangkat lunak yang tidak diperbarui, para penyerang memanfaatkan fakta bahwa karyawan mempercayai platform yang mereka gunakan untuk login setiap pagi dan vendor yang mengelola sistem TI mereka secara jarak jauh. Kepercayaan itu, begitu disalahgunakan, menjadi salah satu permukaan serangan paling efektif yang tersedia.

Cara Kerja Pembajakan Sesi Microsoft 365

Di pusat kampanye ini terdapat teknik yang dikenal sebagai pembajakan sesi. Alih-alih mencuri nama pengguna dan kata sandi secara langsung, penyerang mencegat atau mencuri token autentikasi, atau "cookie sesi," yang dihasilkan Microsoft 365 setelah pengguna berhasil login dan menyelesaikan autentikasi multi-faktor. Karena token itu membuktikan bahwa sesi sudah terverifikasi, penyerang yang mendapatkannya dapat secara efektif menjadi pengguna yang login tanpa perlu lagi kata sandi asli.

Hal ini penting karena autentikasi multi-faktor, yang sejak lama dianggap sebagai pertahanan kuat terhadap pencurian kredensial, tidak menghentikan penyerang yang telah menangkap sesi yang valid. Peristiwa login sudah terjadi secara sah dari sudut pandang korban. Setelah masuk, penyerang dapat mengakses email, file bersama, kalender, dan komunikasi internal yang terhubung ke akun Microsoft 365 tersebut, sering kali tanpa memicu jenis peringatan yang biasanya muncul akibat upaya login gagal atau notifikasi perangkat baru.

Alat Manajemen Jarak Jauh dan Dokumen Bisnis sebagai Titik Masuk

Kampanye Agustus yang sama juga memanfaatkan perangkat lunak pemantauan dan manajemen jarak jauh (RMM), jenis alat yang digunakan departemen TI dan penyedia layanan terkelola untuk memasang pembaruan, memecahkan masalah, dan memelihara sistem secara jarak jauh. Ketika penyerang mendapatkan akses ke alat-alat ini, baik dengan membajak kredensial atau mengeksploitasi konfigurasi yang lemah, mereka mewarisi tingkat akses tepercaya yang sama seperti administrator TI yang sah. Itu berarti kemampuan untuk mengirim file, menjalankan perintah, atau bergerak melintasi seluruh jaringan perangkat yang terhubung dengan gesekan minimal.

Dokumen bisnis rutin juga berperan. File yang terlihat seperti faktur, kontrak, atau memo internal masih menjadi salah satu cara paling andal untuk membuat karyawan mengklik tautan atau membuka lampiran, justru karena file-file itu tidak terlihat mencurigakan. Dikombinasikan dengan pembajakan sesi dan penyalahgunaan RMM, satu dokumen yang meyakinkan dapat menjadi kartu domino pertama dalam intrusi yang jauh lebih besar.

Pola ini menggema tren yang lebih luas dalam penegakan hukum kejahatan siber, di mana otoritas semakin menargetkan infrastruktur dan individu di balik serangan skala besar, bukan hanya insiden individual. Tindakan sanksi seperti yang terhadap administrator operasi ransomware Trickbot menunjukkan bagaimana pemerintah mencoba mengganggu ekosistem yang membuat kampanye semacam ini menguntungkan, bahkan ketika variasi baru dari teknik lama terus bermunculan.

Apa Artinya Ini Bagi Anda

Bagi sebagian besar individu, kampanye ini adalah pengingat bahwa kata sandi yang kuat dan bahkan autentikasi multi-faktor bukanlah jaring pengaman yang lengkap jika token sesi dapat dicuri melalui phishing atau malware. Terutama bagi karyawan di bisnis kecil dan menengah, di mana sumber daya TI mungkin terbatas dan alat RMM umum digunakan oleh vendor luar, risiko penyalahgunaan semacam ini nyata.

Jika Anda menggunakan Microsoft 365 untuk bekerja, perhatikan permintaan yang tidak terduga untuk autentikasi ulang, lokasi login yang tidak dikenal yang ditandai dalam notifikasi keamanan, atau permintaan untuk menyetujui perangkat yang tidak Anda kenali. Jika organisasi Anda mengandalkan penyedia TI pihak ketiga yang menggunakan perangkat lunak manajemen jarak jauh, ada baiknya bertanya bagaimana akses tersebut diamankan dan dipantau. Dan seperti biasa, perlakukan dokumen yang tidak terduga, terutama yang mendesak tindakan cepat, dengan skeptisisme yang sehat sebelum membukanya.

Langkah-Langkah yang Dapat Dilakukan

  • Tinjau log aktivitas masuk Microsoft 365 secara berkala dan laporkan sesi atau lokasi yang tidak dikenal segera.
  • Tanyakan kepada penyedia TI atau tim internal Anda bagaimana akses perangkat lunak RMM diautentikasi dan apakah pemantauan sesi sudah diterapkan.
  • Hindari membuka dokumen bisnis, faktur, atau lampiran yang tidak terduga tanpa memverifikasi pengirim melalui saluran terpisah.
  • Pertimbangkan untuk mengaktifkan kebijakan akses bersyarat dan jendela waktu habis sesi yang lebih pendek untuk akun cloud jika memungkinkan.
  • Tetap terinformasi tentang bagaimana penyerang beradaptasi untuk melewati autentikasi multi-faktor, karena pembajakan sesi Microsoft 365 menunjukkan bahwa MFA saja bukanlah pertahanan yang dijamin.

Gelombang serangan Agustus tidak memerlukan malware baru yang canggih untuk berhasil. Serangan itu berhasil dengan mengeksploitasi kepercayaan sehari-hari yang diberikan bisnis pada login yang familiar, vendor yang familiar, dan jenis file yang familiar. Tetap waspada terhadap kenyataan ini adalah salah satu pertahanan paling sederhana dan paling efektif yang tersedia.