Perusahaan keamanan siber Sygnia telah menerbitkan riset baru yang mengidentifikasi aktor ancaman terkait China yang disebutnya Fire Ant, yang menurut perusahaan telah menargetkan infrastruktur tepercaya. Temuan ini berasal dari pekerjaan respons insiden Sygnia, investigasi forensik yang sama yang sebelumnya mengungkap kelompok ancaman penting lainnya. Meskipun rincian tentang teknik spesifik Fire Ant masih terbatas dalam pengungkapan publik Sygnia, penamaan dan pelacakan aktor baru yang terkait negara ini signifikan bagi organisasi yang mengandalkan sistem pihak ketiga dan infrastruktur bersama untuk menjalankan operasi mereka.
Siapa Fire Ant, dan Mengapa Ini Penting?
Sygnia menggambarkan Fire Ant sebagai aktor ancaman dengan keterkaitan dengan China yang telah diamati menargetkan infrastruktur tepercaya. Dalam istilah keamanan siber, "infrastruktur tepercaya" umumnya merujuk pada sistem, jaringan, dan layanan pihak ketiga yang diandalkan organisasi dan sering dianggap aman secara default, seperti sistem autentikasi, alat manajemen jaringan, atau penyedia layanan bersama. Ketika penyerang mengkompromikan jenis infrastruktur ini daripada pintu depan perusahaan individual, mereka berpotensi mendapatkan pijakan yang meluas ke banyak korban hilir sekaligus.
Pola ini sejalan dengan tren yang lebih luas yang telah dilacak para peneliti keamanan selama bertahun-tahun: kelompok terkait negara semakin menyukai kompromi rantai pasokan dan tingkat infrastruktur karena menawarkan akses yang lebih efisien daripada menyerang setiap target secara langsung. Identifikasi Fire Ant oleh Sygnia menambahkan aktor bernama lain ke dalam daftar kelompok yang perlu diwaspadai tim keamanan saat mengaudit paparan mereka terhadap sistem bersama dan pihak ketiga.
Riset Ancaman yang Lebih Luas dari Sygnia: Vice Society dan Luna Moth
Fire Ant bukan satu-satunya aktor ancaman yang sedang diselidiki oleh tim respons insiden Sygnia. Badan pekerjaan forensik yang sama sebelumnya telah memeriksa Vice Society, sebuah kelompok ransomware yang dikenal melakukan serangan pemerasan ganda, di mana penyerang baik mengenkripsi data korban maupun mengancam akan membocorkan file yang dicuri kecuali tebusan dibayarkan. Penyidik Sygnia menyelidiki bagaimana operator Vice Society bergerak melalui lingkungan korban dan mengeksfiltrasi data, temuan yang menawarkan pandangan langka dari tingkat bawah tentang bagaimana ransomware Vice Society menyalahgunakan OneDrive untuk pencurian data. Riset itu menunjukkan bagaimana penyerang dapat mengubah alat penyimpanan cloud sehari-hari yang sudah dipercaya bisnis menjadi pipa untuk mencuri data perusahaan yang sensitif.
Tim Sygnia juga telah mengidentifikasi kelompok yang dikenal sebagai Luna Moth, yang menurut perusahaan menyerupai penipu langganan palsu namun pada akhirnya berfokus pada pencurian data perusahaan. Secara keseluruhan, investigasi ini memberikan gambaran tentang lanskap ancaman di mana penyerang berkisar dari kru ransomware yang menjalankan skema pemerasan ganda hingga kelompok yang digerakkan oleh rekayasa sosial yang menyamar sebagai layanan sah, semuanya bertemu pada tujuan yang sama: mendapatkan data perusahaan yang berharga.
Masalah Rantai Pasokan dan Infrastruktur Tepercaya
Apa yang menghubungkan Fire Ant, Vice Society, dan Luna Moth dalam riset Sygnia bukanlah seperangkat alat yang sama, tetapi logika strategis yang sama. Setiap aktor ini, dengan cara yang berbeda, mengeksploitasi kepercayaan yang diberikan organisasi pada sistem dan layanan yang mereka andalkan setiap hari, baik itu platform penyimpanan cloud, layanan langganan, atau infrastruktur jaringan inti. Bagi para pembela, ini berarti mengamankan perimeter satu organisasi saja tidak lagi cukup. Tim keamanan perlu visibilitas ke bagaimana alat pihak ketiga dan penyedia infrastruktur dapat menjadi titik masuk, dan mereka memerlukan rencana respons insiden yang memperhitungkan serangan yang berasal dari luar kendali langsung mereka.
Ini sangat relevan bagi organisasi di sektor yang sangat bergantung pada infrastruktur bersama, termasuk penyedia layanan terkelola, platform cloud, dan bisnis mana pun yang mengalihdayakan bagian signifikan dari tumpukan teknologi mereka. Kompromi di tingkat infrastruktur dapat menyebar keluar untuk mempengaruhi banyak organisasi yang tidak pernah berinteraksi langsung dengan penyerang.
Apa Artinya Ini Bagi Anda
Jika organisasi Anda menggunakan penyimpanan cloud, alat manajemen TI pihak ketiga, atau mengandalkan penyedia layanan terkelola, riset Sygnia adalah pengingat untuk melihat melampaui batas jaringan Anda sendiri. Tanyakan kepada vendor dan penyedia layanan Anda pemantauan dan kontrol akses apa yang mereka miliki, dan pastikan tim Anda sendiri memiliki visibilitas ke bagaimana data bergerak masuk dan keluar dari platform tepercaya. Ransomware pemerasan ganda dan kelompok yang berfokus pada pencurian data seperti yang telah dilacak Sygnia tidak perlu membobol sistem Anda secara langsung jika mereka dapat mengkompromikan infrastruktur yang sudah Anda percaya.
Untuk karyawan individu, saran praktis tetap konsisten: waspadalah terhadap prompt langganan atau penagihan yang tidak terduga, verifikasi aktivitas akun yang tidak biasa melalui saluran resmi, dan laporkan hal yang mencurigakan ke tim TI atau keamanan Anda segera.
Kesimpulan Utama
Identifikasi Fire Ant oleh Sygnia menambahkan nama baru terkait China ke dalam daftar aktor ancaman yang menargetkan infrastruktur tepercaya, dan ini datang bersamaan dengan pekerjaan berkelanjutan perusahaan dalam mengungkap bagaimana kelompok seperti Vice Society dan Luna Moth mengeksploitasi platform dan layanan tepercaya untuk mencuri data perusahaan. Organisasi harus meninjau paparan mereka terhadap infrastruktur pihak ketiga, memperketat pemantauan di sekitar penyimpanan cloud dan layanan bersama, dan tetap terinformasi saat peneliti terus menerbitkan rincian tentang bagaimana kelompok ini beroperasi. Infrastruktur tepercaya akan terus menarik penyerang justru karena dipercaya, dan itu membuat kewaspadaan berkelanjutan menjadi penting, bukan opsional.
