Modus Baru Kombinasi Vishing dan AitM Token Theft

Modus Baru Kombinasi Vishing dan AitM Token Theft – Para pemburu ancaman siber (threat hunters) baru-baru ini mengungkap rincian terperinci mengenai kelompok ancaman pencurian data dan pemerasan berskala luas yang menyasar platform Microsoft 365 serta berbagai layanan software-as-a-service (SaaS).

Operasi berbahaya ini dilancarkan melalui kombinasi penipuan telepon staf pusat bantuan IT (help desk vishing), pencurian token adversary-in-the-middle (AitM), dan proses masuk menggunakan proksi residensial (residential-proxy sign-ins).

Aktivitas yang secara khusus menargetkan para direktur, wakil presiden, dan jajaran eksekutif ini dilacak oleh lembaga riset dengan sebutan PREY-0058.

Berdasarkan analisis, kelompok ini memiliki kesamaan teknik yang signifikan dengan kelompok pemeras data yang diidentifikasi oleh Mandiant sebagai UNC6671.

Selain itu, keterkaitan juga ditemukan dengan kelompok pemeras data bernama Cinder, yang diyakini sebagai bentuk rebrand atau kelanjutan dari operasi Pink, mengingat adanya tumpang tindih daftar korban pada situs kebocoran data mereka.

Dari Telepon Vishing hingga Eksfiltrasi Data

Rantai serangan kelompok ini umumnya dimulai ketika pelaku menyamar sebagai staf IT internal atau personel bagian dukungan (help desk) melalui sambungan telepon.

Mereka mengarahkan target potensial untuk mengunjungi tautan autentikasi palsu dengan pola <organisasi_korban>.<domain_umpan>. Beberapa contoh domain umpan yang berhasil diidentifikasi di antaranya meliputi:

assignpasskey[.]com
mfaregister[.]com
nowsso[.]com
oskeysetup[.]com
oursso[.]com
passkey-mfa[.]com
passkeydeploy[.]com
registermymfa[.]com
setpasskey[.]com

Serangan tersebut mengarahkan korban ke alur login Microsoft 365 yang dikendalikan oleh operator melalui skema AitM. Tujuannya adalah untuk memanen kredensial serta persetujuan autentikasi multifaktor (MFA) guna mencuri token sesi yang sah.

Token yang berhasil dikumpulkan kemudian digunakan dalam serangan session replay yang bersumber dari infrastruktur proksi, seperti NodeMaven serta dari alamat IP yang berada di lokasi geografis dan Autonomous System Number (ASN) yang sama dengan korban asli.

Setelah berhasil masuk, pelaku mengeksplorasi akun melalui aplikasi seperti “My Signins,” “My Profile,” dan “My Apps” untuk melihat detail akun serta aplikasi yang tersedia bagi korban.

Langkah berikutnya melibatkan teknik penemuan (discovery) terhadap SharePoint dan Entra ID, sebelum akhirnya melakukan pengumpulan data secara besar-besaran dan eksfiltrasi dari SharePoint, OneDrive, Exchange, serta Box. Di penghujung rantai serangan, pelaku melayangkan tuntutan pemerasan kepada para korban.

Karakteristik Unik dan Sektor Industri yang Terdampak

Hal yang paling mencolok dari operasi PREY-0058 adalah ketiadaan penyebaran malware pada perangkat endpoint maupun pergerakan lateral berbasis jaringan tradisional. Analisis subdomain pada infrastruktur umpan juga menemukan ratusan entri yang menyamar sebagai perusahaan nyata.

Target sasaran tersebar luas di berbagai wilayah dengan fokus utama di Amerika Serikat, meliputi sektor konstruksi dan teknik, layanan kesehatan dan farmasi, properti dan manajemen real estat, keuangan, serta berbagai layanan profesional.

Mitigasi dan Strategi Pertahanan Organisasi

Guna menangkal dan menghadapi ancaman serangan berbasis pencurian identitas ini, organisasi disarankan untuk menerapkan sejumlah langkah pengamanan berikut:

1. Terapkan Kebijakan Akses Bersyarat (Conditional Access).

Batasi akses berdasarkan tingkat kepercayaan perangkat, lokasi, dan konteks pengguna.

2. Gunakan MFA yang Resisten Terhadap Phising.

Tinggalkan metode verifikasi konvensional yang rentan dibajak oleh skema AitM dan beralih ke kunci keamanan perangkat keras atau sertifikat digital.

3. Batasi Ruang Lingkup Akses Data.

Perketat izin dan cakupan data yang dapat diakses oleh pengguna di dalam platform kolaborasi seperti SharePoint dan OneDrive.

4. Pelatihan Kesiapsiagaan Karyawan dan Staf IT.

Edukasi seluruh pegawai serta tim bantuan teknis mengenai risiko serangan vishing yang mengatasnamakan internal perusahaan.

5. Deteksi Anomali Jaringan.

Tim keamanan dapat mengandalkan pemantauan terhadap putar ulang token proksi residensial yang mencurigakan, aktivitas massal di SharePoint, pemanenan kotak surat (mailbox harvesting), serta kemunculan infrastruktur umpan bertema autentikasi yang baru didaftarkan.

Baca artikel lainnya: