Microsoft Security
Microsoft mengungkap aktivitas berbahaya yang tersembunyi dan bertarget. Aktivitas ini berfokus pada akses kredensial pascapenyusupan, serta penemuan sistem jaringan yang mengincar organisasi infrastruktur vital di Amerika Serikat.
Serangan ini dilancarkan oleh Volt Typhoon, pelaku yang disponsori negara dan berbasis di Tiongkok, yang khususnya berfokus pada spionase dan pengumpulan informasi. Microsoft menilai dengan cukup yakin, bahwa kampanye Volt Typhoon ini berupaya untuk membangun kemampuan yang dapat mendisrupsi infrastruktur komunikasi penting antara Amerika Serikat dan kawasan Asia pada saat krisis di masa depan.
Volt Typhoon telah aktif semenjak pertengahan tahun 2021 dan sudah menarget organisasi infrastruktur penting di Guam serta lokasi lainnya di Amerika Serikat. Dalam kampanye ini, organisasi yang terdampak meliputi sektor komunikasi, manufaktur, utilitas, transportasi, konstruksi, maritim, pemerintahan, teknologi informasi, dan pendidikan. Perilaku yang terpantau menunjukkan bahwa pelaku ancaman bermaksud untuk melakukan spionase dan mempertahankan akses tanpa terdeteksi selama mungkin.
Untuk mencapai tujuan mereka, pelaku ancaman menekankan dengan tegas kerahasiaan di dalam kampanye ini, nyaris sepenuhnya mengandalkan teknik living-off-the-land dan aktivitas hands-on-keyboard. Mereka mengeluarkan perintah lewat baris perintah untuk (1) mengumpulkan data, termasuk kredensial dari sistem jaringan dan lokal, (2) memasukkan data ke dalam file arsip untuk digunakan saat eksfiltrasi, lalu (3) menggunakan kredensial valid curian untuk menjaga persistensi. Selain itu, Volt Typhoon mencoba untuk berbaur di dalam aktivitas jaringan normal dengan merutekan lalu lintas melalui perlengkapan jaringan kantor kecil dan kantor rumah (SOHO) yang disusupi, termasuk perangkat keras VPN, router, dan firewall. Agar makin tidak terdeteksi, mereka juga diketahui memanfaatkan alat sumber terbuka versi kustom untuk membangun saluran perintah dan kontrol (C2) melalui proksi.
Pada posting blog ini, kami membagikan informasi tentang Volt Typhoon, kampanye mereka yang mengincar penyedia infrastruktur penting, serta taktik mereka dalam merebut dan mempertahankan akses tidak sah sebagai upaya menargetkan jaringan. Karena aktivitas ini menggunakan akun yang valid dan biner living-off-the-land (LOLBins), mendeteksi dan memitigasi serangan ini terkadang cukup sulit. Akun yang disusupi harus ditutup atau diubah. Di akhir posting blog ini, kami akan membagikan langkah mitigasi serta praktik terbaik lainnya, sekaligus memberikan detail tentang cara Microsoft 365 Defender mendeteksi aktivitas berbahaya dan mencurigakan untuk melindungi organisasi dari serangan tersembunyi yang serupa. Badan Keamanan Nasional (National Security Agency/NSA) juga telah menerbitkan Pemberitahuan Keamanan Cyber [PDF] yang berisi panduan perburuan ancaman cyber untuk taktik, teknik, dan prosedur (TTPs) yang didiskusikan dalam blog ini. Lihat posting blog lengkap untuk mengetahui informasi selengkapnya.
Sama seperti aktivitas pelaku negara bangsa yang terpantau lainnya, Microsoft telah secara langsung memberi tahu pelanggan yang disusupi atau menjadi target dan memberikan informasi penting yang diperlukan pelanggan untuk mengamankan lingkungan mereka. Untuk mempelajari tentang pendekatan Microsoft terhadap pelacakan pelaku ancaman, baca Microsoft beralih ke taksonomi penamaan pelaku ancaman baru
