Tiga Klaster Spionase Siber Diduga Rusia Menyalahgunakan Fitur Login yang Sah

Taktik ini dapat melewati perlindungan yang biasanya diasosiasikan pengguna dengan autentikasi multifaktor. Korban mungkin tidak pernah menyerahkan kata sandi utama. Sebaliknya, mereka bisa saja menyetujui aplikasi OAuth, membuat kata sandi aplikasi, atau menautkan perangkat baru. Tindakan tersebut dapat memberi penyerang jalur akses yang terlihat sah ke dalam akun.

Cara kerja masing-masing klaster

UNC6293: penyamaran, kata sandi aplikasi, dan OAuth

UNC6293 dilaporkan menyamar sebagai pejabat Departemen Luar Negeri Amerika Serikat dan kontak tepercaya lainnya. Umpannya dirancang untuk mendorong target membuat dan membagikan kata sandi khusus aplikasi, yang dapat memberikan akses ke akun tanpa melalui permintaan faktor kedua seperti biasanya. GTIG juga menjelaskan penggunaan phishing persetujuan OAuth, ketika penyerang memburu token akses yang diotorisasi alih-alih mencuri kata sandi secara langsung.

GTIG menilai dengan tingkat keyakinan sedang bahwa UNC6293 merupakan subklaster akses awal dari ICE RELIC, nama yang digunakan Google untuk aktor yang sebelumnya dikenal sebagai APT29.

UNC7005 atau STORM-2945: WhatsApp dan umpan berlapis

UNC7005 menggunakan serangkaian teknik yang terus berkembang, antara lain:

• Penipuan penautan perangkat WhatsApp: korban dibujuk untuk menautkan perangkat yang dikendalikan penyerang ke akun WhatsApp mereka.
• Panggilan suara palsu dan undangan obrolan terenkripsi: interaksi ini digunakan untuk membangun kepercayaan sebelum tautan atau kode berbahaya dikirimkan.
• Komunikasi organisasi yang dipalsukan: umpan yang mengatasnamakan Finnish Operations Center digunakan bersama portal login Microsoft palsu.
• OAuth dan penyebaran malware: alur Google OAuth dimanfaatkan untuk mencari token atau akses akun, sementara malware seperti VIDAR dan ATOMIC infostealer juga disebarkan.

Teknik dan infrastruktur UNC7005 berbeda dari UNC6293. Karena itu, GTIG melacak keduanya sebagai klaster terpisah meskipun memiliki target yang beririsan dan sama-sama mengandalkan alur autentikasi yang sah.

UNC5976: phishing OAuth terhadap target pertahanan

UNC5976 dilaporkan berfokus pada personel dan organisasi militer, dirgantara, serta pertahanan, termasuk target yang terkait dengan Ukraina dan Armenia. Aktivitas phishing-nya berupaya memperoleh otorisasi melalui OAuth untuk mengakses akun atau data korban.

Penilaian Google soal kaitan dengan Rusia

GTIG menilai dengan tingkat keyakinan tinggi bahwa keseluruhan aktivitas tersebut memiliki keterkaitan dengan Rusia. Penilaian atribusi ini tidak berarti setiap detail operasi atau hubungan antar-klaster telah terbukti dengan tingkat kepastian yang sama.

Laporan yang tersedia juga menggambarkan kemungkinan hubungan antara sebagian aktivitas tersebut dan ICE RELIC/APT29. Penilaian GTIG yang menghubungkan UNC6293 dengan ICE RELIC berada pada tingkat keyakinan sedang. Sementara itu, klaster-klaster tersebut tetap dilacak secara terpisah karena teknik operasional dan infrastrukturnya tidak identik.

Mengapa autentikasi multifaktor saja belum cukup

Autentikasi multifaktor tetap dapat dikalahkan jika penyerang berhasil memanipulasi pengguna agar menyetujui tindakan yang keliru. Layar persetujuan OAuth, permintaan pembuatan kata sandi aplikasi, atau kode penautan WhatsApp yang muncul tiba-tiba bisa menjadi tanda pengambilalihan akun, meskipun tidak ada kata sandi yang dicuri.

Pelajaran praktisnya: perlakukan setiap permintaan autentikasi sebagai transaksi yang harus diverifikasi. Jangan menganggapnya otomatis aman hanya karena permintaan itu muncul di dalam layanan yang sudah dikenal.

Langkah perlindungan yang disarankan

Panduan GTIG menekankan pentingnya memperlambat proses yang berusaha dipercepat oleh penyerang:

• Periksa alamat URL lengkap di peramban sebelum masuk ke akun atau menyetujui akses OAuth.
• Verifikasi undangan dan permintaan melalui jalur lain. Gunakan metode kontak yang sudah dikenal untuk memeriksa undangan konferensi, panggilan suara, permintaan obrolan terenkripsi, serta pesan yang mengaku berasal dari pemerintah atau organisasi tertentu.
• Jangan pernah membagikan kata sandi aplikasi, kode verifikasi sekali pakai, kode QR, atau kode penautan perangkat. Jangan menyetujui login atau permintaan OAuth yang tidak Anda mulai sendiri.
• Periksa perangkat pesan yang tertaut secara berkala. Hapus perangkat yang tidak dikenal dari WhatsApp dan aplikasi perpesanan lainnya.
• Gunakan MFA yang tahan phishing. Organisasi sebaiknya memprioritaskan kunci keamanan atau passkey, serta membatasi aplikasi OAuth berisiko dan penggunaan kata sandi khusus aplikasi jika memungkinkan.

Bagi orang yang bekerja di sektor sensitif, kebiasaan terpentingnya sederhana: merek yang familiar, halaman login yang tampak asli, atau fitur autentikasi resmi tidak otomatis membuktikan bahwa suatu permintaan aman. Permintaan tersebut—termasuk siapa yang memulai dan untuk tujuan apa—tetap harus diverifikasi.