Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Phishing

Phishing

Pengguna OpenSea kehilangan NFT senilai $2 juta dalam serangan phishing

by

Pasar non-fungible token (NFT) OpenSea sedang menyelidiki serangan phishing yang menyebabkan 17 penggunanya tidak memiliki lebih dari 250 NFT senilai sekitar $2 juta.

NFT mewakili data yang disimpan di blockchain, Ethereum dalam hal ini, yang menyatakan kepemilikan file digital, biasanya file media karya seni.

Para peneliti di Check Point mengatakan bahwa pelaku phishing mengetahui tentang OpenSea yang meningkatkan sistem kontrak pintarnya untuk membersihkan daftar lama dan tidak aktif di platform dan bersiap untuk migrasi dengan email dan situs web mereka sendiri.

OpenSea memberi tahu penggunanya bahwa mereka harus memperbarui daftar mereka antara 18 – 25 Februari jika mereka ingin terus menggunakan platform.

Untuk membantu mereka dalam prosesnya, platform mengirim email kepada semua pengguna dengan instruksi tentang cara mengonfirmasi migrasi daftar.

Pelaku phishing mengambil keuntungan dari proses ini dan menggunakan alamat email mereka sendiri untuk mengirim pesan dari OpenSea ke pengguna yang divalidasi, menipu mereka dengan berpikir bahwa konfirmasi asli mereka tidak berhasil.

Email phishing yang dikirim oleh pelaku ancaman terlihat identik dengan yang asli (Check Point)

Tautan yang disematkan ke dalam email palsu itu mengarah ke situs web phishing tempat para korban diminta untuk menandatangani transaksi, yang diduga terkait dengan migrasi.

Permintaan transaksi asli dan berbahaya berdampingan (Check Point)

Seperti yang dijelaskan oleh Check Point, aktor tersebut bahkan melakukan uji coba pada 21 Januari 2022, untuk memverifikasi bahwa serangan itu akan berhasil sebagaimana dimaksud.

OpenSea dengan cepat menunjukkan bahwa serangan itu tidak mengeksploitasi kerentanan apa pun pada platform atau sistem perdagangannya, melainkan hanya mengandalkan menipu pengguna melalui phishing.

Dengan demikian, platform telah menyarankan pengguna untuk tetap waspada dan menghindari mengikuti tautan apa pun yang bukan milik domain opensea.io.

Selain itu, email phishing dikonfirmasi berasal dari luar platform, yang mengonfirmasi bahwa sistem distribusi email platform tidak disusupi.

Menandatangani transaksi tanpa memperhatikan memberikan izin kepada orang lain untuk mentransfer kepemilikan aset digital Anda. Permintaan dari platform pertukaran dikecualikan, semua permintaan transaksi lainnya harus ditolak.

Sumber : Bleeping Computer

FBI memperingatkan penyerang BEC yang menyamar sebagai CEO dalam pertemuan virtual

by

Biro Investigasi Federal (FBI) hari ini memperingatkan bahwa organisasi dan individu AS semakin menjadi sasaran dalam serangan BEC (kompromi email bisnis) pada platform pertemuan virtual.

Penipu BEC dikenal menggunakan berbagai taktik (termasuk rekayasa sosial, phishing, dan peretasan) untuk menyusupi akun email bisnis dengan tujuan akhir mengalihkan pembayaran ke rekening bank mereka sendiri.

Dalam jenis serangan ini, para penjahat menargetkan bisnis kecil, menengah, dan besar, serta individu. Tingkat keberhasilannya juga sangat tinggi karena penipu biasanya berpura-pura sebagai orang yang dipercaya oleh karyawan, seperti mitra bisnis atau CEO.

FBI mengatakan mereka melihat scammers beralih ke platform pertemuan virtual yang cocok dengan tren keseluruhan bisnis yang pindah ke pekerjaan jarak jauh selama pandemi.

Seperti yang dijelaskan dalam PSA FBI, para penjahat menggunakan platform kolaborasi tersebut dalam serangan mereka dengan berbagai cara, termasuk menyamar sebagai CEO dalam rapat virtual dan menyusup ke rapat untuk mengumpulkan informasi bisnis:

  • Mengganggu email majikan atau direktur keuangan, seperti CEO atau CFO, dan meminta karyawan untuk berpartisipasi dalam platform pertemuan virtual di mana penjahat akan menyisipkan gambar diam CEO tanpa audio, atau audio “deep fake1”, dan mengklaim mereka video/audio tidak berfungsi dengan baik. Mereka kemudian melanjutkan untuk menginstruksikan karyawan untuk melakukan transfer dana melalui obrolan platform pertemuan virtual atau dalam email tindak lanjut.
  • Mengkompromikan email karyawan untuk memasukkan diri mereka ke dalam rapat di tempat kerja melalui platform rapat virtual untuk mengumpulkan informasi tentang operasi bisnis sehari-hari.
  • Mengganggu email pemberi kerja, seperti CEO, dan mengirim email palsu kepada karyawan yang menginstruksikan mereka untuk melakukan transfer dana, karena CEO mengklaim sedang sibuk dalam rapat virtual dan tidak dapat melakukan transfer dana melalui komputer mereka sendiri.

      • Menurut laporan tahunan FBI tahun 2020 tentang kejahatan dunia maya, penipuan BEC adalah “bisnis” yang sangat menguntungkan, mengingat serangan BEC berada di balik rekor jumlah keluhan dan kerugian finansial sekitar $1,8 miliar.

      Ini adalah bagian terbesar dari $ 4,2 miliar yang secara resmi hilang karena kejahatan dunia maya oleh orang Amerika pada tahun 2020.

      Dari 791.790 pengaduan yang diterima oleh Pusat Pengaduan Kejahatan Internet (IC3) FBI, 19.369 pengaduan adalah tentang penipuan BEC atau kompromi akun email (EAC).

      FBI juga memperingatkan perusahaan sektor swasta AS pada Maret 2021 tentang serangan BEC yang semakin menargetkan entitas pemerintah negara bagian, lokal, suku, dan teritorial (SLTT).

      Dalam peringatan sebelumnya, FBI mengatakan penipu BEC menyalahgunakan layanan email cloud seperti Google G Suite dan Microsoft Office 365, serta penerusan otomatis email dalam serangan mereka.

      Sumber : Bleeping Computer

Phishing LinkedIn Besar-besaran, Serangan Bot Memberi Makan pada Orang yang Lapar

by

Rentan secara emosional dan bersedia menawarkan informasi apa pun yang menarik perhatian, pencari kerja adalah target utama untuk kampanye rekayasa sosial. Dan dengan “Pengunduran Diri Hebat” dalam ayunan penuh, penjahat dunia maya dengan mudah menemukan korban berikutnya.

Sejak 1 Februari, analis telah menyaksikan serangan email phishing yang meniru LinkedIn melonjak 232 persen, mencoba mengelabui pencari kerja agar menyerahkan kredensial mereka.

Email tersebut memiliki baris subjek yang akan menarik bagi pencari kerja yang berharap diperhatikan, seperti, “Siapa yang mencari Anda secara online”, “Anda muncul dalam 4 pencarian minggu ini” atau bahkan “Anda memiliki 1 pesan baru”, kata tim Egress .

Email phishing itu sendiri adalah penipuan yang meyakinkan, dibangun dalam template HTML dengan logo, warna, dan ikon LinkedIn, tambah laporan itu. Para scammer juga memeriksa nama perusahaan terkenal di seluruh isi email phishing, termasuk American Express dan CVS Carepoint, untuk membuat korespondensi tampak lebih sah, kata para analis.

Bahkan footer email mengangkat alamat kantor pusat perusahaan dan menyertakan tautan “berhenti berlangganan” untuk menambah keaslian email, para analis menunjukkan.

“Anda juga dapat melihat spoofing nama tampilan LinkedIn, yang dirancang untuk menyembunyikan akun email web yang digunakan untuk meluncurkan serangan,” kata laporan itu.

Setelah korban mengklik tautan berbahaya di email, mereka diarahkan ke situs untuk memanen login dan kata sandi LinkedIn mereka.

“Sementara nama tampilan selalu LinkedIn dan semua email mengikuti pola yang sama, serangan phishing dikirim dari alamat webmail berbeda yang tidak memiliki korelasi satu sama lain,” tambah para analis.

Selain menggunakan prospek pekerjaan potensial untuk mengelabui target agar batuk kredensial mereka, Imperva, dalam laporan terpisah, merinci bagaimana menghentikan serangan bot terbesar yang pernah dilihat perusahaan hingga saat ini, di situs daftar pekerjaan global.

Imperva tidak secara spesifik menyebutkan nama perusahaan, tetapi perusahaan mengatakan bahwa mereka dibombardir dengan 400 juta permintaan bot lebih dari 400.000 alamat IP unik selama empat hari yang mencoba mengikis semua data pencari kerja.

Tim Imperva menambahkan bahwa jenis serangan pengikisan web ini umum terjadi dan dapat mengakibatkan “tingkat konversi yang lebih rendah, analisis pemasaran yang miring, penurunan peringkat SEO, latensi situs web, dan bahkan waktu henti (biasanya disebabkan oleh scraper agresif).”

Musim panas lalu, serangan pengikisan data besar-besaran terhadap LinkedIn ditemukan telah mengumpulkan setidaknya 1,2 miliar catatan pengguna yang kemudian dijual di forum bawah tanah. Pada saat itu, LinkedIn menegaskan kembali bahwa data yang tergores adalah informasi publik, bukan informasi pribadi, dan tidak memenuhi syarat sebagai pelanggaran.

Itu membuat pengguna individu harus memperhatikan informasi yang mereka ekspos secara publik dan bagaimana hal itu dapat digunakan untuk mengelabui mereka agar mengklik tautan berbahaya.

Sumber : Threat Post

Grup Peretas Telah Membingkai Orang untuk Kejahatan yang Tidak Mereka Lakukan

by

Setidaknya selama satu dekade, kelompok peretas bayangan telah menargetkan orang-orang di seluruh India, terkadang menggunakan kekuatan digitalnya untuk menanamkan bukti palsu aktivitas kriminal di perangkat mereka. Bukti palsu itu, pada gilirannya, sering menjadi dalih bagi penangkapan para korban.

Sentinel One mengungkapkan rincian tambahan tentang kelompok tersebut, yang menjelaskan cara di mana trik kotor digitalnya digunakan untuk mengawasi dan menargetkan “aktivis hak asasi manusia, pembela hak asasi manusia, akademisi, dan pengacara” di seluruh India.

Kelompok itu, yang oleh para peneliti dijuluki “ModifiedElephant” sebagian besar disibukkan dengan mata-mata, tetapi kadang-kadang campur tangan untuk membingkai target kejahatannya. Peneliti menulis:

Tujuan ModifiedElephant adalah pengawasan jangka panjang yang terkadang diakhiri dengan pengiriman ‘bukti’—file yang memberatkan target dalam kejahatan tertentu—sebelum penangkapan yang terkoordinasi dengan mudah.

Kasus paling menonjol yang melibatkan Elephant berpusat di sekitar aktivis Maois Rona Wilson dan sekelompok rekannya yang, pada 2018, ditangkap oleh dinas keamanan India dan dituduh merencanakan penggulingan pemerintah. Bukti plot yang diduga termasuk dokumen kata yang merinci rencana untuk membunuh perdana menteri negara itu, Narendra Modi ditemukan di laptop Wilson. Namun, analisis forensik perangkat kemudian menunjukkan bahwa dokumen tersebut sebenarnya palsu dan telah ditanam menggunakan malware. Menurut peneliti Sentinel, Gajahlah yang menempatkan mereka di sana.

Menurut laporan Sentinel One, Elephant menggunakan alat dan teknik peretasan umum untuk mendapatkan pijakan di komputer korban. Email phishing, biasanya disesuaikan dengan minat korban, dimuat dengan dokumen berbahaya yang berisi alat akses jarak jauh (RAT) yang tersedia secara komersial—program yang mudah digunakan yang tersedia di web gelap yang dapat membajak komputer. Secara khusus, Elephant telah terbukti menggunakan DarkComet dan Netwire, dua merek terkenal. Setelah korban berhasil di-phishing dan malware peretas diunduh, RAT memungkinkan Elephant mengontrol perangkat korban secara menyeluruh; mereka dapat diam-diam melakukan pengawasan atau, seperti dalam kasus Wilson, menyebarkan dokumen palsu yang memberatkan.

Semuanya sangat jahat. Seperti apa pun di dunia peretas, sulit untuk mengetahui secara pasti siapa sebenarnya “Gajah”. Namun, bukti kontekstual yang jelas menunjukkan bahwa kelompok tersebut memikirkan “kepentingan” pemerintah India.

Sayangnya, ModifiedElephant bukan satu-satunya grup di luar sana yang melakukan hal semacam ini. Sebuah kelompok yang sama sekali berbeda diyakini telah melakukan operasi serupa terhadap Baris Pehlivan, seorang jurnalis di Turki yang dipenjara selama 19 bulan pada tahun 2016 setelah pemerintah Turki menuduhnya melakukan terorisme. Forensik digital kemudian mengungkapkan bahwa dokumen yang digunakan untuk membenarkan tuduhan Pehlivan telah ditanam, seperti yang ada di laptop Wilson.

Secara keseluruhan, ini adalah hal yang cukup mengganggu. “Masih banyak pertanyaan tentang aktor ancaman ini dan operasi mereka,” tulis peneliti Sentinel One, tentang Elephant. “Namun, satu hal yang jelas: Kritikus terhadap pemerintah otoriter di seluruh dunia harus dengan cermat memahami kemampuan teknis mereka yang ingin membungkam mereka.”

sumber : GIZMODO

ICO Dipukul 2650% Peningkatan Serangan Email

by

Kantor Komisaris Informasi (ICO) Inggris mengalami peningkatan serangan email sebesar 2650% selama tahun 2021, menurut angka resmi yang diperoleh oleh think tank Parliament Street setelah permintaan Kebebasan Informasi.

Angka-angka tersebut mengungkapkan bahwa serangan email yang menargetkan regulator perlindungan data dan privasi Inggris melonjak dari 150.317 pada Januari menjadi 4.135.075 pada Desember yang luar biasa. Data tersebut terkait dengan volume email phishing yang terdeteksi, malware yang terdeteksi dan diblokir, serta spam yang terdeteksi dan diblokir oleh ICO untuk setiap bulan tahun lalu.

Email spam mewakili sebagian besar serangan, dengan kasus melonjak 2775% dari Januari hingga Desember. Email phishing juga meningkat secara signifikan selama periode ini, sebesar 20%, sementara malware melonjak sebesar 423%.

Data menunjukkan lonjakan yang sangat besar dalam serangan email pada bulan Desember, dengan 4.125.992 pesan spam, 7886 email phishing, dan 1.197 malware. Lonjakan ini diperkirakan terkait dengan penyebaran cepat varian Omicron di Inggris pada akhir tahun lalu, dengan pelaku ancaman dapat memanfaatkan topik seperti pengujian dan vaksin sebagai daya tarik.

“Keamanan siber bukan hanya tentang melindungi titik akhir melalui solusi keamanan siber anti-malware atau email. Meskipun ini penting, sekarang ada berbagai titik akses bagi penjahat dunia maya untuk dimanfaatkan yang perlu diperhatikan oleh para pemimpin TI. Ini termasuk aplikasi rentan yang belum ditambal dan kerentanan jaringan, kredensial masuk yang dicuri atau dibeli secara ilegal atau bahkan dengan meretas perangkat pintar yang tidak dilindungi.”

Steven Peake, manajer Barracuda Networks berkomentar: “Pandemi terus menjadi katalisator bagi penjahat cyber oportunistik untuk mencoba dan memangsa orang-orang yang tidak curiga dan rentan. Penelitian kami baru-baru ini menunjukkan lonjakan 521% dalam serangan phishing terkait tes COVID-19, jadi tidak mengherankan jika melihat organisasi besar, seperti ICO, terkena ancaman dalam jumlah besar karena mewakili target yang menguntungkan. Email phishing, malware, dan spam, khususnya, merupakan sebagian besar ancaman yang dihadapi organisasi ini, sehingga mereka perlu menerapkan langkah-langkah untuk melindungi diri mereka sendiri. Para penyerang siber ini tidak akan pergi ke mana pun dalam waktu dekat.”

Tahun lalu, pemerintah Inggris mengumumkan rencana untuk mengubah struktur ICO sebagai bagian dari rencana untuk mereformasi sektor data negara.

Sumber : Info Security

Kit Phishing Deteksi Rendah Semakin Melewati MFA

by

Semakin banyak kit phishing yang berfokus pada melewati metode otentikasi multi-faktor (MFA), para peneliti telah memperingatkan biasanya mereka mencuri token otentikasi melalui serangan man-in-the-middle (MiTM).

Menurut analisis dari Proofpoint, kit phishing bypass MFA berkembang biak dengan cepat, “mulai dari kit open-source sederhana dengan kode yang dapat dibaca manusia dan fungsionalitas tanpa embel-embel hingga kit canggih yang menggunakan banyak lapisan kebingungan dan modul bawaan yang memungkinkan untuk mencuri. nama pengguna, kata sandi, token MFA, nomor Jaminan Sosial, dan nomor kartu kredit.”

Para peneliti juga mencatat bahwa kit MFA-bypass mewakili titik buta keamanan, dengan alamat IP dan domain terkait yang sering kali diselingi oleh deteksi VirusTotal.

Trik Proxy Terbalik Transparan
Menurut Proofpoint, salah satu pendekatan kit phishing yang sangat populer adalah penggunaan transparent reverse proxies (TRPs), yang memungkinkan penyerang untuk memasukkan diri mereka ke dalam sesi browser yang ada. Pendekatan MiTM ini memungkinkan musuh bersembunyi dan mengumpulkan informasi saat informasi tersebut masuk atau muncul di layar.

Kit TRP menunjukkan “situs web sebenarnya kepada korban,” catat para peneliti dalam analisis hari Kamis. “Halaman web modern bersifat dinamis dan sering berubah. Oleh karena itu, menampilkan situs sebenarnya alih-alih faksimili sangat meningkatkan ilusi bahwa seseorang masuk dengan aman.”

Proofpoint mengatakan bahwa ada tiga kit TRP khususnya yang telah melihat peningkatan yang digunakan belakangan ini.

Modlishka
Proofpoint mengatakan bahwa ini memungkinkan pengguna untuk melakukan phishing hanya pada satu situs pada satu waktu. Ini menggunakan antarmuka baris perintah dan memiliki mekanisme berbasis GUI untuk mencuri kredensial dan informasi sesi, tambah mereka.

“Modlishka juga mengintegrasikan Let’s Encrypt sehingga dapat membuat halaman arahan domain palsu sedikit lebih dapat dipercaya dengan mengenkripsi lalu lintas dan memberikan gembok kecil di bilah web,” kata mereka.

Muraena/Necrobrowser
Muraena berjalan di sisi server dan menggunakan crawler untuk memindai situs target untuk memastikan situs tersebut dapat menulis ulang semua lalu lintas yang diperlukan dengan benar, untuk tidak memperingatkan korban. Ini memanen kredensial dan cookie sesi korban, lalu menyebarkan Necrobrowser.

Necrobrowser merupakan browser tanpa GUI yang digunakan untuk otomatisasi, yang memanfaatkan cookie sesi yang dicuri untuk masuk ke situs target dan melakukan hal-hal seperti mengubah kata sandi, menonaktifkan pemberitahuan Google Workspace, membuang email, mengubah kunci sesi SSH di GitHub dan unduh semua repositori kode.

Evilginx2

Keunggulannya adalah pengaturan yang mudah dan kemampuan untuk menggunakan “phishlet” yang telah diinstal sebelumnya, yaitu file konfigurasi yaml yang digunakan mesin untuk mengonfigurasi proxy ke situs target. Pengguna juga dapat membuat phishlet baru.

Setelah korban mengklik tautan berbahaya, mereka dibawa ke halaman aman untuk masuk, di mana penyerang mengangkat kredensial, kode MFA, dan cookie sesi.

Meskipun alat-alat ini bukan hal baru, mereka semakin sering digunakan untuk melewati MFA, perusahaan mencatat, yang mengkhawatirkan karena kurangnya deteksi. Peneliti dari Stony Brook University dan Palo Alto Networks mengembangkan alat yang berhasil mengidentifikasi 1.200 situs phishing MitM. Namun, hanya 43,7 persen dari domain tersebut dan 18,9 persen alamat IP mereka yang muncul di VirusTotal – meskipun memiliki masa hidup hingga 20 hari atau lebih.

Selengkapnya : Threat Post

Hacker Menggunakan Trik Pendaftaran Perangkat untuk Menyerang Perusahaan dengan Phishing Lateral

by

Microsoft telah mengungkapkan rincian kampanye phishing multi-fase berskala besar yang menggunakan kredensial curian untuk mendaftarkan perangkat di jaringan korban untuk menyebarkan email spam lebih lanjut dan memperluas kolam infeksi.

Raksasa teknologi itu mengatakan serangan itu dimanifestasikan melalui akun yang tidak diamankan menggunakan otentikasi multi-faktor (MFA), sehingga memungkinkan musuh untuk mengambil keuntungan dari kebijakan bring-your-own-device (BYOD) target dan memperkenalkan perangkat nakal mereka sendiri menggunakan kredensial yang dicuri.

Serangan itu terjadi dalam dua tahap. “Fase kampanye pertama melibatkan pencurian kredensial di organisasi target yang berlokasi terutama di Australia, Singapura, Indonesia, dan Thailand,” kata Tim Intelijen Ancaman Pembela Microsoft 365 dalam sebuah laporan teknis yang diterbitkan minggu ini.

Kredensial yang dicuri kemudian dimanfaatkan pada tahap kedua, di mana penyerang menggunakan akun yang dikompromikan untuk memperluas pijakan mereka dalam organisasi melalui phishing lateral serta di luar jaringan melalui spam keluar.

Kampanye dimulai dengan pengguna yang menerima umpan phishing bermerek DocuSign yang berisi tautan, yang, setelah mengklik, mengarahkan penerima ke situs web nakal yang menyamar sebagai halaman login untuk Office 365 untuk mencuri kredensial.

Pencurian kredensial tidak hanya mengakibatkan kompromi lebih dari 100 kotak surat di berbagai perusahaan, tetapi juga memungkinkan penyerang untuk menerapkan aturan kotak masuk untuk menggagalkan deteksi. Ini kemudian diikuti oleh gelombang serangan kedua yang menyalahgunakan kurangnya perlindungan MFA untuk mendaftarkan perangkat Windows yang tidak dikelola ke instans Azure Active Directory (AD) perusahaan dan menyebarkan pesan berbahaya.

Dengan menghubungkan perangkat yang dikendalikan penyerang ke jaringan, teknik baru membuatnya layak untuk memperluas pijakan penyerang, diam-diam memperbanyak serangan, dan bergerak lateral di seluruh jaringan yang ditargetkan.

“Untuk meluncurkan gelombang kedua, para penyerang memanfaatkan kotak surat yang dikompromikan pengguna yang ditargetkan untuk mengirim pesan berbahaya ke lebih dari 8.500 pengguna, baik di dalam maupun di luar organisasi korban,” kata Microsoft. Email menggunakan umpan undangan berbagi SharePoint sebagai badan pesan dalam upaya untuk meyakinkan penerima bahwa file ‘Pembayaran.pdf’ yang dibagikan adalah sah.”

Perkembangan ini terjadi ketika serangan rekayasa sosial berbasis email terus menjadi cara paling dominan untuk menyerang perusahaan untuk mendapatkan entri awal dan menjatuhkan malware pada sistem yang dikompromikan.

Awal bulan ini, Netskope Threat Labs mengungkapkan kampanye jahat yang dikaitkan dengan grup OceanLotus yang melewati deteksi berbasis tanda tangan dengan menggunakan jenis file non-standar seperti file arsip web (. MHT) lampiran untuk menyebarkan informasi-mencuri malware.

Selain mengaktifkan MFA, menerapkan praktik terbaik seperti kebersihan kredensial yang baik dan segmentasi jaringan dapat “meningkatkan ‘biaya’ bagi penyerang yang mencoba menyebar melalui jaringan.”

“Praktik terbaik ini dapat membatasi kemampuan penyerang untuk bergerak secara lateral dan membahayakan aset setelah intrusi awal dan harus dilengkapi dengan solusi keamanan canggih yang memberikan visibilitas di seluruh domain dan mengkoordinasikan data ancaman di seluruh komponen perlindungan,” tambah Microsoft.

Sumber: The Hacker News

Microsoft memperingatkan kampanye phishing multi-tahap yang memanfaatkan Azure AD

by

Analis ancaman Microsoft telah menemukan kampanye phishing multi-fase skala besar yang menggunakan kredensial curian untuk mendaftarkan perangkat ke jaringan target dan menggunakannya untuk mendistribusikan email phishing.

Serangan tersebut hanya terwujud melalui akun yang tidak memiliki perlindungan otentikasi multi-faktor (MFA), yang membuatnya lebih mudah untuk dibajak.

Pelaku ancaman menyebarkan serangan dalam dua tahap, yang pertama dirancang untuk mencuri kredensial email penerima, memikat mereka dengan email bertema DocuSign yang mendesak untuk meninjau dan menandatangani dokumen.

Umpan DocuSign dikirim dalam gelombang pertama serangan
Sumber: Microsoft

Tautan yang disematkan membawa korban ke URL phishing yang meniru halaman masuk Office 365 dan mengisi nama pengguna korban untuk meningkatkan kredibilitas.

Data telemetri Microsoft menunjukkan bahwa fase pertama serangan difokuskan terutama pada perusahaan yang berlokasi di Australia, Singapura, Indonesia, dan Thailand.

Para aktor berusaha untuk berkompromi dengan karyawan yang bekerja jarak jauh, titik layanan terkelola yang tidak terlindungi dengan baik, dan infrastruktur lain yang mungkin beroperasi di luar kebijakan keamanan yang ketat.

Penyelidikan selanjutnya mengungkapkan bahwa lebih dari seratus kotak surat di beberapa organisasi telah disusupi dengan aturan kotak surat berbahaya bernama “Filter Spam”.

Dengan kredensial di tangan, penyerang menginstal Outlook di mesin mereka sendiri (Windows 10) dan masuk ke akun email pengguna. Tindakan ini menyebabkan perangkat penyerang terhubung secara otomatis ke perusahaan Azure Active Directory dan mendaftarkannya.

Setelah perangkat penyerang ditambahkan ke jaringan organisasi, pelaku ancaman melanjutkan ke tahap kedua, mengirim email ke karyawan perusahaan yang ditargetkan dan target eksternal seperti kontraktor, pemasok, atau mitra.

Rantai serangan phishing
Sumber: Microsoft

Karena pesan ini berasal dari ruang kerja tepercaya, pesan tersebut tidak ditandai oleh solusi keamanan dan membawa elemen legitimasi intrinsik yang meningkatkan peluang keberhasilan aktor.

Azure AD memicu stempel waktu aktivitas saat perangkat mencoba mengautentikasi, yang merupakan kesempatan kedua bagi pembela HAM untuk menemukan pendaftaran yang mencurigakan.

Acara pendaftaran yang mencurigakan
Sumber: Microsoft

Jika pendaftaran tidak diketahui, aktor diizinkan untuk mengirim pesan dari bagian domain yang dikenali dan tepercaya menggunakan kredensial valid yang dicuri di Outlook.

Kampanye phishing ini licik dan cukup berhasil, tetapi tidak akan seefektif jika perusahaan yang ditargetkan mengikuti salah satu praktik berikut:

  • Semua karyawan telah mengaktifkan MFA di akun Office 365 mereka.
  • Terapkan solusi perlindungan titik akhir yang dapat mendeteksi pembuatan aturan kotak masuk.
  • Pendaftaran perangkat Azure AD dipantau secara ketat.
  • Pendaftaran Azure AD memerlukan MFA.
  • Kebijakan tanpa kepercayaan diterapkan di semua bagian jaringan organisasi.

Sumber : Bleeping Computer