Bagaimana Ransomware Vice Society Menyalahgunakan OneDrive untuk Pencurian Data

Alat Cloud yang Akrab Berubah Menjadi Saluran Eksfiltrasi

Ketika tim respons insiden di Sygnia menyelidiki serangan ransomware pemerasan ganda, mereka menemukan sesuatu yang seharusnya menjadi perhatian bagi siapa pun yang mengandalkan penyimpanan cloud untuk operasi bisnis: para penyerang di balik intrusi ini, yang diidentifikasi sebagai kelompok ransomware Vice Society, telah menggunakan Microsoft OneDrive sebagai saluran utama mereka untuk mencuri data perusahaan. Daripada menggunakan malware eksfiltrasi khusus yang dapat memicu alarm, para pelaku ancaman mengandalkan alat yang sudah dipercaya dan masuk daftar putih oleh hampir semua organisasi.

Pemerasan ganda telah menjadi strategi standar bagi operasi ransomware besar. Penyerang tidak hanya mengenkripsi file dan menuntut tebusan untuk kunci dekripsi. Mereka juga mencuri data sensitif terlebih dahulu, lalu mengancam akan membocorkannya secara publik jika korban tidak membayar untuk kedua kalinya. Taktik ini telah muncul berulang kali dalam insiden terkini, termasuk kampanye pemerasan ganda LockBit 5.0 yang masih terus menyerang organisasi di seluruh dunia. Yang membuat kasus Vice Society menonjol bukanlah model pemerasannya itu sendiri, melainkan metode yang digunakan untuk memindahkan data curian keluar secara diam-diam.

Mengapa Bersembunyi di Dalam Lalu Lintas OneDrive Berhasil dengan Baik

Sebagian besar alat keamanan perusahaan dirancang untuk menandai koneksi keluar yang tidak biasa, alamat IP yang tidak dikenal, atau aplikasi yang tidak dikenali yang mencoba mengakses internet. OneDrive tidak memicu peringatan tersebut karena layanan ini sah dan digunakan secara luas oleh Microsoft, yang umumnya diizinkan secara default oleh tim keamanan. Dengan merutekan file curian melalui aktivitas sinkronisasi OneDrive, operator Vice Society dapat mencampur lalu lintas eksfiltrasi mereka dengan penggunaan cloud normal sehari-hari.

Ini adalah pelajaran inti dari investigasi forensik Sygnia: penyerang semakin sukses bukan karena terobosan teknis baru, tetapi dengan menyalahgunakan kepercayaan yang sudah diberikan organisasi pada platform mainstream. Pola ini juga muncul di tempat lain dalam lanskap ancaman. Dinamika serupa terjadi ketika kode berbahaya yang tersembunyi di dalam ekstensi VS Code yang disusupi menyebabkan ribuan repositori dicuri, lagi-lagi karena alat pengembang yang tepercaya menjadi vektor, bukan alat yang jelas mencurigakan. Ketika mekanisme pengiriman terlihat rutin, deteksi menjadi jauh lebih sulit, dan jendela bagi penyerang untuk beroperasi tanpa terdeteksi menjadi lebih lama.

Luna Moth: Ancaman Berbeda, Fokus Data Perusahaan yang Sama

Tim Sygnia juga menandai pelaku ancaman terpisah yang perlu dipahami secara mandiri: Luna Moth. Berbeda dengan pendekatan ransomware-dan-bocorkan ala Vice Society, taktik Luna Moth lebih mirip dengan penipuan langganan palsu, jenis rekayasa sosial yang mengelabui korban agar percaya bahwa mereka telah mendaftar untuk biaya berulang yang perlu dibatalkan. Namun tujuan akhirnya kembali ke target yang sama yang membuat kelompok ransomware begitu berbahaya: data perusahaan. Luna Moth menggunakan titik masuk yang menipu itu untuk mengakses informasi bisnis sensitif, bahkan tanpa harus menggunakan malware enkripsi sama sekali.

Perbedaan ini penting bagi para pembela. Tidak setiap insiden pencurian data serius terlihat seperti serangan ransomware klasik dengan catatan tebusan dan file terkunci. Beberapa kelompok melewati enkripsi sepenuhnya dan langsung melakukan pemerasan hanya berdasarkan data curian, yang berarti tim keamanan tidak dapat hanya mengandalkan deteksi perilaku enkripsi untuk menangkap pelanggaran yang sedang berlangsung.

Apa Artinya Ini Bagi Anda

Bagi tim TI dan keamanan, kasus ini adalah pengingat bahwa memasukkan layanan seperti OneDrive ke daftar putih tidak sama dengan mengamankannya. Pemantauan harus mencakup volume data yang tidak biasa yang mengalir melalui aplikasi cloud yang disetujui, bukan hanya tujuan yang tidak dikenal. Alat pencegahan kehilangan data, deteksi anomali yang disetel ke perilaku sinkronisasi cloud, dan kontrol akses ketat seputar siapa yang dapat memindahkan data dalam jumlah besar semuanya kini lebih relevan daripada sebelumnya, terutama ketika penyerang menyempurnakan taktik mereka seiring AI yang sudah mengubah operasi ransomware, memaksa penyedia layanan terkelola untuk memikirkan ulang strategi pemulihan siber secara menyeluruh.

Bagi individu dan organisasi yang lebih kecil, kesimpulannya lebih luas: mengenkripsi file sensitif sebelum mencapai penyimpanan cloud, menggunakan autentikasi kuat pada akun cloud, dan tetap skeptis terhadap email atau perintah terkait langganan dapat mengurangi eksposur terhadap kelompok ransomware dan permainan rekayasa sosial seperti Luna Moth. Mengenkripsi lalu lintas dan data dalam perjalanan, baik melalui VPN yang bereputasi baik atau alat enkripsi bawaan, menambah lapisan perlindungan, meskipun itu tidak akan menghentikan penyerang yang sudah mendapatkan akses akun yang sah. Pertahanan berlapis, bukan satu alat tunggal, yang sebenarnya membatasi kerusakan.

Poin Penting

• Vice Society mengeksfiltrasi data curian melalui OneDrive, mengeksploitasi kepercayaan yang organisasi berikan pada layanan cloud mainstream daripada mengandalkan malware khusus.
• Luna Moth beroperasi secara berbeda, menggunakan taktik yang menyerupai penipuan langganan palsu untuk mencapai tujuan yang sama: pencurian data perusahaan.
• Memantau perilaku aplikasi cloud untuk volume data yang tidak biasa, bukan hanya tujuan yang tidak dikenal, sangat penting untuk menangkap jenis eksfiltrasi ini.
• Pemerasan ganda tetap menjadi model ransomware yang dominan, yang berarti data curian menimbulkan risiko bahkan jika cadangan memungkinkan Anda menghindari pembayaran untuk dekripsi.
• Mengenkripsi data sensitif sebelum mencapai cloud dan menerapkan kontrol akses yang kuat mengurangi eksposur terlepas dari teknik apa pun yang digunakan penyerang.

Seiring kelompok ransomware terus menemukan cara untuk bersembunyi di depan mata, tetap mengetahui bagaimana teknik-teknik ini berkembang adalah salah satu langkah paling sederhana yang dapat diambil organisasi dan individu menuju perlindungan yang lebih baik.