Catatan Infostealer Membentuk Ulang Lanskap Pelanggaran

Selama bertahun-tahun, email phishing dan eksploitasi perangkat lunak menjadi titik masuk utama bagi penyerang yang ingin membobol jaringan perusahaan. Itu berubah. Peneliti keamanan sekarang menunjuk pada malware infostealer, dan catatan kredensial yang dihasilkannya, sebagai pendahulu utama pelanggaran perusahaan dan serangan ransomware. Alih-alih merancang umpan phishing yang meyakinkan atau berburu kerentanan yang belum ditambal, kelompok kriminal semakin sering hanya membeli atau menukar kredensial login curian yang sudah dipanen infostealer dari perangkat yang terinfeksi.

Pergeseran ini penting karena mengubah di mana kerentanan sebenarnya berada. Ini bukan lagi hanya tentang apakah firewall perusahaan atau filter email menangkap tautan berbahaya. Ini tentang apakah laptop pribadi karyawan, komputer rumah kontraktor, atau perangkat bersama di suatu tempat dalam rantai pasok pernah terinfeksi malware pencuri kredensial, bahkan berbulan-bulan atau bertahun-tahun sebelum pelanggaran akhirnya terjadi.

Bagaimana Catatan Infostealer Memicu Pelanggaran Data Cloud

Infostealer adalah kategori malware yang dibuat untuk satu tujuan: secara diam-diam mengekstrak nama pengguna, kata sandi, cookie browser, token sesi, dan data isi otomatis dari mesin yang terinfeksi, lalu mengirim semuanya kembali ke penyerang. Outputnya biasanya dikemas ke dalam apa yang disebut dunia bawah siber sebagai "log", yang pada dasarnya adalah bundel setiap kredensial dan artefak sesi yang diambil dari satu perangkat yang terinfeksi.

Log ini diperdagangkan dan dijual di pasar kriminal, seringkali dengan harga murah mengingat banyaknya yang diproduksi. Yang membuatnya sangat berbahaya bagi organisasi adalah bahwa log tersebut sering kali berisi cookie sesi dan token autentikasi yang valid untuk layanan cloud, VPN, dan portal perusahaan. Itu berarti penyerang tidak perlu menebak kata sandi atau menipu seseorang untuk memasukkannya. Mereka berpotensi menggunakan kembali sesi yang aktif dan berjalan melewati layar login dan bahkan otentikasi multi-faktor, karena sesi tersebut sudah diautentikasi sebelum malware mengambilnya.

Begitu masuk, satu log yang telah dikompromikan itu bisa menjadi pijakan awal untuk intrusi yang jauh lebih besar: pergerakan lateral di seluruh lingkungan cloud, akses ke drive bersama dan alat internal, dan akhirnya jenis eksposur data atau penyebaran ransomware yang menjadi berita utama. Infeksinya sendiri mungkin terjadi pada perangkat pribadi yang tidak pernah menyentuh jaringan perusahaan secara langsung, itulah salah satu alasan mengapa jalur serangan ini sangat sulit diantisipasi oleh tim keamanan.

Mengapa Perusahaan Kesulitan Mengikutinya

Pertahanan keamanan tradisional dibangun berdasarkan asumsi bahwa risiko terbesar datang dari upaya luar untuk masuk, lampiran berbahaya, upaya login brute-force, atau kelemahan perangkat lunak yang belum ditambal. Pelanggaran yang didorong infostealer menghindari semua itu. Kompromi seringkali berasal jauh di luar perimeter perusahaan, pada perangkat yang tidak terlihat oleh tim keamanan, dan kredensial yang dihasilkan hanya dibeli atau diperoleh oleh kelompok kriminal kedua yang melakukan pelanggaran sebenarnya.

Pembagian kerja ini, satu kelompok aktor mengkhususkan diri pada infeksi dan pemanenan log, yang lain mengkhususkan diri pada monetisasi akses, telah membuat ekonomi kejahatan siber lebih efisien dan lebih sulit diganggu. Ini juga berarti bahwa menambal kerentanan perangkat lunak yang diketahui, meskipun tetap penting, hanya mengatasi sebagian dari masalah. Liputan kami tentang kampanye infostealer FortiClient EMS menggambarkan bagaimana penyerang menggabungkan kerentanan teknis tertentu dengan malware pencuri kredensial untuk mendapatkan pijakan di dalam sistem manajemen perusahaan, menunjukkan bagaimana taktik infostealer dan eksploitasi tradisional semakin sering digunakan bersama-sama daripada sebagai strategi terpisah.

Apa Artinya Ini Bagi Anda

Jika Anda bekerja di perusahaan yang mengandalkan layanan cloud, dan hampir setiap organisasi saat ini mengandalkannya, keamanan perangkat pribadi Anda lebih terkait dengan risiko pemberi kerja Anda daripada yang mungkin Anda pikirkan. Satu infeksi infostealer pada komputer rumah yang digunakan untuk memeriksa email kerja atau masuk ke portal perusahaan dapat menghasilkan log kredensial yang akhirnya memicu pelanggaran yang jauh lebih besar di kemudian hari.

Bagi individu, ini memperkuat beberapa kebiasaan yang sudah dikenal namun semakin mendesak: menjaga perangkat tetap diperbarui, menghindari perangkat lunak bajakan dan unduhan tidak resmi (sarana penyebaran infostealer yang umum), menggunakan pengelola kata sandi daripada kata sandi yang disimpan di browser, dan mengaktifkan otentikasi multi-faktor di mana pun ditawarkan. Tak satu pun dari ini adalah peluru perak untuk pencurian token sesi, tetapi semuanya secara berarti meningkatkan biaya dan kesulitan bagi penyerang.

Tindakan yang Dapat Diambil

Beberapa langkah praktis dapat mengurangi paparan Anda terhadap risiko yang didorong infostealer:

  • Hindari mengunduh perangkat lunak bajakan, game bajakan, atau ekstensi browser tidak resmi, semua metode pengiriman infostealer yang umum.
  • Gunakan pengelola kata sandi khusus alih-alih menyimpan kredensial di browser Anda, karena data yang disimpan di browser adalah target utama infostealer.
  • Aktifkan otentikasi multi-faktor di setiap akun yang mendukungnya, dan pertimbangkan opsi yang tahan phishing jika tersedia.
  • Secara rutin bersihkan sesi browser yang tersimpan dan keluar dari akun sensitif di perangkat bersama atau pribadi yang digunakan untuk bekerja.
  • Jika Anda mencurigai perangkat mungkin terinfeksi, ubah kata sandi dari perangkat terpisah yang tepercaya dan pantau akun untuk aktivitas yang tidak biasa.

Meningkatnya log infostealer sebagai alat akses awal pilihan industri kejahatan siber adalah pengingat bahwa pencegahan pelanggaran semakin dimulai jauh di luar jaringan perusahaan, pada perangkat sehari-hari yang digunakan orang untuk masuk dari mana saja.