Arctic Wolf Labs menerbitkan laporan pada 26 Oktober tentang pola serangan yang makin sering muncul: penyerang membuka chat satu lawan satu di Microsoft Teams, mengaku dari tim IT atau helpdesk, lalu membujuk karyawan memasang alat akses jarak jauh. Perusahaan keamanan itu menyebut polanya sudah tercatat di lebih dari 400 insiden. The Hacker News mengaitkan aktivitas ini dengan kelompok yang dilacak sebagai STAC4749.
Cara penyerang masuk
Penyerang membuat tenant Microsoft 365 sendiri, lalu mengirim pesan ke karyawan target lewat fitur chat eksternal Teams. Nama tampilan sengaja dibuat meyakinkan, misalnya memakai label “(Internal)” atau kata “Help Desk”, supaya peringatan pengguna eksternal tidak menarik perhatian. Menurut Arctic Wolf, serangan sering didahului email bombing, yakni banjir email konfirmasi langganan ke kotak masuk korban. Setelah korban kewalahan, pesan Teams datang menawarkan bantuan.
Korban lalu diminta menerima panggilan suara atau langsung membuka alat bantuan jarak jauh. Arctic Wolf mengamati Quick Assist paling sering dipakai, disusul AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport, dan LogMeIn. Pada satu kasus yang dianalisis, rangkaian perintah PowerShell memasang paket MSI dan implan Python yang menanyai Active Directory untuk mengumpulkan data komputer dan pengguna. Pada kampanye sebelumnya, pelaku memakai QakBot, DarkGate, Cobalt Strike, dan GoGRPC.
Sophos, dalam laporan yang diberitakan Cybersecurity Dive pada akhir Juli, menyebut taktik serupa berujung pada ransomware Chaos di sedikitnya tiga kasus di Amerika Utara antara Februari dan Juni. Pada satu insiden, jeda dari akses awal sampai ransomware aktif hanya 17 jam. Sophos menilai pelakunya kelompok kriminal bermotif uang, bukan aktor negara.
Langkah yang perlu diambil
Arctic Wolf menyarankan administrator Teams mengubah akses eksternal dari “izinkan semua” menjadi daftar izin domain tertentu, memblokir chat dengan akun tidak terkelola atau akun Teams konsumen, dan memblokir federasi dengan tenant percobaan memakai perintah Set-CsTenantFederationConfiguration dengan opsi ExternalAccessWithTrialTenants diatur ke Blocked. Quick Assist sebaiknya dibatasi hanya untuk peran IT yang berwenang, dan alat akses jarak jauh yang tidak disetujui perlu diblokir atau dicopot.
Di sisi proses, tim keamanan bisa memantau peristiwa ChatCreated sebagai titik deteksi utama dan mengaitkannya dengan sinyal lain seperti email bombing, eksekusi alat akses jarak jauh, dan perintah pengintaian. Karyawan perlu tahu bahwa permintaan akses jarak jauh harus diverifikasi lewat saluran lain, misalnya menelepon balik nomor helpdesk resmi, dan bahwa label “External” pada chat berarti pengirimnya dari luar organisasi.
Bagi pembaca yang bekerja di kantor dengan Microsoft 365, pegangan paling sederhana: tim IT sungguhan tidak akan meminta Anda membuka Quick Assist setelah kotak masuk Anda tiba-tiba dibanjiri email. Hentikan percakapan, lapor ke tim keamanan lewat jalur resmi, dan jangan memasang apa pun.
Sumber: Arctic Wolf Labs, The Hacker News, Cybersecurity Dive. Gambar: Arctic Wolf.