Para penjahat siber kini memanfaatkan kalender digital dan email untuk mengirim undangan meeting palsu yang berisi malware. Simak modusnya berikut ini.
Laporan terbaru dari perusahaan siber Sublime menyoroti peningkatan tajam dalam serangan malware yang memanfaatkan undangan kalender dalam beberapa bulan terakhir.
Menurut laporan tersebut, jumlah serangan ini meningkat sekitar 282 persen pada Juni jika dibandingkan dengan Mei.
ADVERTISEMENT
SCROLL TO CONTINUE WITH CONTENT
Kemudian, serangan ini kembali melonjak hingga 1.216 persen pada Agustus dan diperkirakan terus meningkat menjadi 2.852 persen di September.
Sublime menyebut modus penipuan undangan meeting palsu di kalender melalui email ini semakin marak karena sejumlah alasan. Pertama, metode ini dinilai relatif mudah dilakukan.
Alasan berikutnya adalah pelaku memanfaatkan pengaturan bawaan pada fitur undangan kalender di banyak aplikasi email.
Untuk melancarkan serangan tersebut, penipu menggunakan teknik yang disebut Sublime sebagai ICS phishing. Sebagai bagian dari standar iCalendar, file ICS berisi detail undangan rapat atau janji temu.
Dalam sejumlah aplikasi seperti Microsoft Outlook, Gmail, dan Apple Mail, file ICS yang dikirim melalui email bisa langsung ditambahkan ke kalender, bahkan sebelum penerima memutuskan untuk menerima atau menolak undangan tersebut.
Sublime turut menyoroti salah satu serangan terbaru yang menggunakan undangan Google Calender untuk menyebarkan tautan menuju file berbahaya. File tersebut berisi perangkat lunak remote monitoring dan management (RMM), yaitu perangkat lunak untuk memantau atau mengelola perangkat dari jauh.
Pada kasus ini, penerima dijanjikan pengembalian atau pengkreditan dana atas tagihan terbaru yang diklaim belum diselesaikan. Kemudian, mereka diundang ke sebuah rapat untuk membahas masalah tersebut.
Undangan tersebut dikirim dari akun Gmail, sehingga berpotensi lolos dari pemblokiran yang hanya mengandalkan pemeriksaan domain pengirim.
Kondisi ini dapat berbeda sesuai dengan aplikasi email yang digunakan, tetapi undangan tersebut kemungkinan dapat melewati pemeriksaan keamanan dan otomatis masuk ke inbox penerima.
Menurut Sublime, jika sistem keamanan berhasil memblokir email tersebut, undangan tersebut bahkan masih berpotensi dapat muncul di kalender target.
Ketika undangan masuk dan korban membuka tautan dalam email atau entri kalender, mereka akan diarahkan ke situs yang dihosting oleh Farmer, yakni layanan yang menyediakan paket hosting gratis.
Pada situs tersebut, korban diminta untuk memilih tombol View Here untuk mengunduh dokumen yang diklaim sebagai nota kredit atau bukti pengurangan tagihan. Tautan tersebut padahal mengarah ke file berbahaya.
Jika tidak diblokir oleh perangkat lunak keamanan, file instalasi berformat MSI akan terunduh ke perangkat korban.
Selain mengandung malware, file MSI tersebut juga menyertakan informasi konfigurasi yang memanfaatkan perangkat lunak akses jarak jauh yang sah, yaitu ScreenConnect untuk menjalankan fungsi server Command atau Control (C2).
Server C2 ini memungkinkan penyerang mengendalikan sistem yang telah terinfeksi dan mengirimkan perintah ke perangkat tersebut.
Modus efektif dan hemat biaya
Dikutip dari ZDNET, ada sejumlah alasan mengapa modus undangan meeting palsu di kalender ini efektif digunakan oleh para penipu. Pertama, undangan rapat dikirim ke inbox email sekaligus kalender, sehingga pengguna terpapar ancaman di dua tempat.
Alasan selanjutnya ialah sebagian besar aplikasi email dilengkapi dengan sistem keamanan yang dirancang untuk melindungi dari serangan siber pada inbox, namun belum tentu memberikan perlindungan yang sama pada fitur kalender.
Ketika email berhasil dideteksi oleh perangkat lunak keamanan, undangan acara palsu tersebut bahkan tetap bisa ditambahkan ke kalender dan sering kali masih tersimpan di sana.
Kemudian, sebagian besar pelaku serangan siber ini memanfaatkan platform Google seperti Gmail melalui Google Calendar atau infrastruktur Microsoft.
Dikarenakan kedua perusahaan memiliki layanan terpercaya, serangan tersebut dapat lebih mudah lolos dari deteksi.
Di samping itu, para penipu disebut kerap memanfaatkan layanan gratis untuk melakukan serangan sehingga mereka tidak perlu mengeluarkan biaya.
"Hal yang membuat serangan ini berhasil adalah kepercayaan yang muncul secara tidak langsung, baik terhadap kedua sistem yang digunakan maupun terhadap undangan itu sendiri," kata John Gallagher, VP Viakoo John Gallagher, Jumat (18/9).
Menurut Gallagher, para pelaku mengandalkan asumsi bahwa korban masih menggunakan pengaturan bawaan, serta undangan di kalender tidak dianggap mencurigakan seperti email phishing.
"Bahaya sebenarnya terletak pada isi undangan tersebut. Tautan atau kode QR di dalamnya dapat membahayakan sistem korban. Bahkan, menolak undangan pun bisa memberikan informasi kepada pelaku bahwa alamat email tersebut aktif," imbuhnya.
(nad/lom)