Federal Bureau of Investigation (FBI) bersama lembaga keamanan dari enam negara lainnya mengungkap aktivitas kelompok peretas yang dikaitkan dengan Integrity Technology Group, perusahaan asal China. Kelompok ini diduga membobol jaringan organisasi untuk mencuri email dan kredensial akun. Aktivitas tersebut dilaporkan berlangsung setidaknya sejak Januari 2021.

FBI pun menjelaskan tahapan serangan yang mencakup pencarian celah keamanan, pengambilalihan akun, hingga pencurian data email. Dilansir dari The Hacker News, berikut modus yang dilakukan para peretas:

Memindai Celah Keamanan Jaringan

Peretas menggunakan alat pemindaian untuk menemukan kelemahan pada jaringan dan aplikasi web. Salah satu alat yang digunakan adalah MicroScan, aplikasi berbasis Python dengan lebih dari 1.300 skrip pengujian kerentanan.

Metode yang digunakan meliputi:

• Memindai port dan layanan jaringan yang terbuka.
• Mencari celah pada aplikasi seperti WordPress dan Apache Struts.
• Mengeksploitasi perangkat lunak yang belum mendapatkan pembaruan keamanan.

FBI juga mengidentifikasi delapan kerentanan yang berhasil dieksploitasi, termasuk pada GNU Bash, GitLab, dan Strapi.

Baca Juga: Credential Stuffing: Ancaman Siber dari Kebocoran Data Login

Mengambil Alih Akun Email

Selain mengeksploitasi kerentanan, kelompok peretas menggunakan password spraying, yaitu mencoba sejumlah kata sandi umum terhadap banyak akun. Mereka menargetkan berbagai antarmuka Microsoft 365 dan Exchange untuk memperoleh akses ke layanan email.

Peretas juga memanfaatkan kerentanan cross-site scripting (XSS) untuk memodifikasi halaman web dan menampilkan formulir login yang dapat digunakan untuk mencuri kredensial.

Beberapa metode yang digunakan, antara lain:

• Mencoba kata sandi umum pada banyak akun.
• Memanfaatkan kelemahan halaman login.
• Menargetkan berbagai layanan Microsoft 365 dan Exchange.

Mempertahankan Akses dan Mencuri Data

Setelah memasuki jaringan, peretas menggunakan SoftEther, perangkat lunak VPN yang sah, untuk mempertahankan koneksi. Mereka juga menggunakan teknik DCSync untuk mengambil informasi kredensial melalui Active Directory.

Untuk mengumpulkan email, kelompok tersebut memanfaatkan skrip berbasis PHP dan alat bernama office-cli yang dapat mengambil pesan dari akun Microsoft 365 secara berulang.

Aktivitas tersebut mencakup:

• Mengambil email melalui Exchange Web Services (EWS).
• Mengumpulkan kredensial dan informasi akun.
• Mengompresi, terkadang mengenkripsi, lalu mengirimkan data ke server jarak jauh.

Baca Juga: Gmail Mulai Digempur Serangan Hacker, Lindungi Akun Anda dengan Cara Ini

Email Curian Dapat Diakses Pihak Ketiga

FBI menemukan aplikasi web yang memungkinkan pihak ketiga mengakses konten email hasil pencurian. Namun, peringatan keamanan tersebut tidak mengungkap identitas pihak yang memperoleh akses maupun jumlah organisasi yang terdampak.

Temuan ini menunjukkan bahwa pencurian email dapat menimbulkan risiko lanjutan, seperti:

• Terbukanya komunikasi internal organisasi.
• Tersebarnya informasi sensitif yang tersimpan dalam email.
• Akses tidak sah terhadap data oleh pihak lain.

Langkah Mencegah Pencurian Data Email

Organisasi perlu menerapkan perlindungan berlapis untuk mengurangi risiko pencurian informasi. Pengamanan harus mencakup akun pengguna, aplikasi, jaringan, dan layanan cloud yang terhubung.

Langkah yang dapat dilakukan meliputi:

• Mengaktifkan autentikasi multifaktor (MFA) pada akun penting.
• Memperbarui perangkat lunak dan menutup celah keamanan.
• Meninjau izin aplikasi pihak ketiga yang dapat mengakses email.
• Memantau aktivitas login dan jaringan yang mencurigakan.
• Mengisolasi sistem terdampak dan melakukan investigasi jika terjadi dugaan peretasan.

Perlindungan email tidak cukup hanya mengandalkan kata sandi. Pengelolaan akses, pembaruan sistem, dan pemantauan berkala diperlukan untuk membantu mencegah pencurian data serta membatasi dampak serangan siber.