Badai Phising Global: Kit AiTM Incar Microsoft 365

Badai Phising Global: Kit AiTM Incar Microsoft 365 – Aktivitas Phising-as-a-Service (PhaaS) global mencatatkan lonjakan signifikan pada separuh awal tahun 2026.

Tren ini didorong secara masif oleh penyalahgunaan alur OAuth device-code serta penggunaan kit Adversary-in-the-Middle (AiTM) yang secara spesifik menyasar kredensial dan identitas pengguna Microsoft 365.

Berikut adalah 9 kit phising teratas yang digunakan oleh penjahat siber dalam menjalankan aksinya di seluruh dunia.

9 Kit phising (PhaaS) Teratas

1. Sneaky2FA

Pertama kali terdeteksi pada Oktober 2024 dan dijual melalui Telegram, Sneaky2FA adalah platform PhaaS lengkap yang meretas akun Microsoft 365 melalui intersepsi reverse-proxy AiTM.

Kit ini memvalidasi kredensial secara real-time ke API resmi Microsoft, menggunakan tangkapan layar buram dari antarmuka Microsoft sebagai latar belakang penyamar, serta menerapkan teknik Browser-in-the-Browser untuk mengelabui analisis sandbox.

Meskipun mengalami penurunan terbanyak (-303), Sneaky2FA tetap menjadi kit yang paling banyak digunakan minggu ini.

• Vektor Infeksi: Email phising berisi kuitansi pembayaran palsu dengan kode QR (phising) yang mengarah ke halaman login Microsoft 365 palsu.
• Alat yang Digunakan: Panel PhaaS berbasis Telegram, reverse proxy AiTM, hamparan Browser-in-the-Browser.
• Industri Target: Perusahaan pengguna Microsoft 365 di sektor keuangan, layanan profesional, dan teknologi.
• Celah yang Dieksploitasi: Bypass MFA berbasis OTP/TOTP melalui relai token sesi.

2. EvilTokens

EvilTokens berkembang pesat dengan menyalahgunakan alur OAuth 2.0 device authorization grant. Teknik ini memungkinkan peretas mengambil alih akun Microsoft 365 yang terverifikasi MFA tanpa perlu mencuri kata sandi.

Kit ini didistribusikan via bot Telegram dan menggabungkan fitur pengumpulan token, pengumpulan email, pengintaian (reconnaissance), serta pembuatan umpan berbasis AI. Pada Maret 2026, kit ini telah digunakan dalam kampanye yang menyerang lebih dari 340 organisasi.

• Vektor Infeksi: Email berkedok tagihan, dokumen bersama, undangan kalender, atau permintaan akses SharePoint.
• Alat yang Digunakan: C2 bot Telegram, otomatisasi permintaan OAuth device-code, pembuat umpan berteknologi AI.
• Industri Target: Sektor keuangan, HR, logistik, dan penjualan di lingkungan Microsoft 365 enterprise.
• Celah yang Dieksploitasi: Penyalahgunaan alur grant otorisasi perangkat OAuth 2.0; tidak adanya batasan Conditional Access pada login device-code.

3. Evilginx2 / EvilProxy

Evilginx2 adalah kerangka kerja reverse-proxy sumber terbuka, sedangkan EvilProxy adalah varian PhaaS komersialnya yang dijual seharga US$150–$400/bulan di forum dark web.

Both mencegat lalu lintas langsung antara korban dan penyedia identitas asli (Microsoft 365, Okta, Google Workspace) untuk mencuri cookie sesi setelah proses MFA selesai.

• Vektor Infeksi: Tautan phising yang mengarahkan korban ke domain reverse-proxy milik peretas yang meniru halaman login asli.
• Alat yang Digunakan: Reverse proxy (Evilginx2/Modlishka/Muraena), modul injeksi cookie, panel berlangganan dark web.
• Industri Target: Perusahaan Fortune 500 dan konsumen layanan cloud global.
• Celah yang Dieksploitasi: Pemutaran ulang cookie sesi (session-cookie replay) setelah MFA berhasil; ketiadaan autentikasi berbasis FIDO2.

4. Kali365

Pertama kali terdeteksi pada April 2026 dan telah menjadi subjek peringatan resmi FBI, Kali365 adalah kit PhaaS berlangganan (US$250/bulan atau US$2.000/tahun).

Yang mencuri token akses Microsoft 365 melalui phising device-code, tanpa memerlukan entri kata sandi atau instruksi MFA.

• Vektor Infeksi: Pesan palsu berupa berbagi dokumen atau undangan Teams yang mengarahkan korban memasukkan kode perangkat pada URL resmi Microsoft.
• Alat yang Digunakan: Saluran promosi Telegram, otomatisasi alur device-code, pengumpulan token OAuth persisten.
• Industri Target: Pengguna Microsoft 365 enterprise dan SMB; penyalahgunaan perangkat IoT/ruang konferensi bersama.
• Celah yang Dieksploitasi: Alur grant otorisasi device-code yang tidak dibatasi.

5. MassBass

Diidentifikasi oleh ANY.RUN sebagai keluarga kit phising yang sedang berkembang dalam gelombang AiTM/PhaaaS saat ini.

Meskipun dokumentasi publik masih terbatas, tingginya volume unggahan menunjukkan adopsi aktif oleh pelaku kejahatan siber untuk mencuri kredensial dan token sesi.

• Vektor Infeksi: Tautan email berbahaya dan lampiran berbasis pola distribusi PhaaS umum.
• Alat yang Digunakan: Kloning halaman login berbasis templat, backend eksfiltrasi kredensial.
• Industri Target: Lintas sektor.
• Celah yang Dieksploitasi: Pengumpulan kredensial dan token sesi via halaman otentikasi kloningan.

6. Greatness

Aktif sejak November 2022, Greatness adalah alat PhaaS matang dengan kemampuan bypass MFA, pemfilteran IP, dan integrasi bot Telegram.

• Kit ini mengisi otomatis alamat email korban serta menyisipkan logo dan latar belakang asli milik perusahaan target untuk mengelabui pengguna.
• Vektor Infeksi: Email phising dengan pembuat lampiran/tautan yang menghasilkan halaman login umpan.
• Alat yang Digunakan: Kit phising berbasis API, notifikasi bot Telegram, proxy penangkap TOTP.
• Industri Target: Sektor manufaktur, pelayanan kesehatan, dan teknologi (AS, Inggris, Australia, Afrika Selatan, dan Kanada).
• Celah yang Dieksploitasi: Bypass TOTP/MFA melalui proxying AiTM pada otentikasi Microsoft 365.

7. Kratos

Kratos telah ditindak oleh kepolisian Jerman (BKA/ZIT) dan AS pada Juli 2026, dengan penyitaan lebih dari 200 server dan penangkapan pengembangnya yang berdomisili di Indonesia.

Meski infrastrukturnya telah ditutup, sisa aktivitas (76 unggahan) masih terdeteksi karena kode kit masih beredar di kalangan peretas.

• Vektor Infeksi: Halaman phising yang meniru login Microsoft 365, sering kali menggunakan skema Business Email Compromise (BEC).
• Alat yang Digunakan: Proxy AiTM; indikator forensik mencakup pemuatan aset barr.svg dan lg.svg, serta pengiriman data curian ke endpoint next.php atau save.php.
• Industri Target: Organisasi bisnis global.
• Celah yang Dieksploitasi: Pencurian cookie sesi yang memicu bypass MFA.

8. Tycoon2FA

Dioperasikan oleh kelompok Storm-1747, Tycoon2FA pernah mendominasi pasar AiTM PhaaS global sejak Agustus 2023.

Penindakan penegak hukum pada 2026 berhasil menekan jangkauannya, namun ekosistemnya kini terdistribusi kembali ke alat-alat lain.

• Vektor Infeksi: Halaman phising ber-CAPTCHA dan kloningan login Microsoft/Gmail.
• Alat yang Digunakan: Server AiTM reverse-proxy, penyalahgunaan Cloudflare Turnstile CAPTCHA, fingerprinting JavaScript, geofencing, serta peringatan real-time Telegram.
• Industri Target: Sektor pertahanan, manufaktur, asuransi, dan teknologi secara global.
• Celah yang Dieksploitasi: Penangkapan token/session cookie secara real-time pasca-MFA.

9. Cephas

Terlihat pertama kali pada Agustus 2024, Cephas terkenal karena menyisipkan karakter tidak terlihat (invisible Unicode characters) acak.

Dan komentar kode bertema astronomi/alkitabiah untuk menghindari aturan YARA dan deteksi berbasis pola.

• Vektor Infeksi: Email phising bertema pertanyaan bisnis yang mengarahkan korban mengunduh berkas dari platform file-sharing.
• Alat yang Digunakan: Obfuskasi anti-bot/anti-analisis, validasi kredensial API Microsoft.
• Industri Target: Lingkungan Microsoft 365 di berbagai sektor.
• Celah yang Dieksploitasi: Pelolosan dari pemindai pola statis.

Kerentanan Inti yang Dieksploitasi

1. Alur OAuth Device-Code Tanpa Batasan: Menjadi faktor pendorong utama di balik keberhasilan EvilTokens, Kali365, dan Tycoon2FA dalam menembus sistem tanpa menyentuh kata sandi.
2. Ketiadaan Phishing-Resistant MFA: Penggunaan MFA berbasis SMS, push notification, atau TOTP masih rentan terhadap intersepsi AiTM. Perlindungan mutlak memerlukan MFA berbasis FIDO2/WebAuthn/passkeys.
3. Pemberlakuan Conditional Access yang Lemah: Tidak adanya pembatasan Conditional Access berdasarkan lokasi geografis, kepatuhan perangkat, atau sign-in device-code memudahkan peretas melancarkan serangan relai token.

Sumber berita:

WeLiveSecurity