Dampak kerentanan di ProxyShell Microsoft Exchange

Warta Ekonomi, Jakarta -

Sophos, pemimpin global dalam keamanan siber merilis “Active Adversary Playbook 2022,” yang merinci perilaku penyerang yang dilihat oleh tim Rapid Response dari Sophos di ruang siber pada tahun 2021.

Laporan tersebut menunjukkan peningkatan dwell time sebesar 36%, dengan dwell time penyusup rata-rata selama 15 hari di 2021 dibandingkan dengan 11 hari di 2020.

Dampak kerentanan di ProxyShell Microsoft Exchange, yang menurut Sophos dimanfaatkan oleh beberapa Initial Access Brokers (IAB) untuk menyusup ke jaringan dan kemudian menjual akses itu ke para penyerang lain.

John Shier, senior security advisor di Sophos mengungkapkan, kejahatan yang terjadi di dunia maya sangat beragam dan telah menjadi sesuatu yang terspesialisasi.

IAB telah mengembangkan industri kejahatan siber dengan menyusupi sebuah target, melakukan pengintaian eksplorasi atau memasang backdoor, dan kemudian menjual akses turn-key ke grup ransomware untuk melakukan serangan-serangan yang mereka lakukan sendiri.

“Dalam lanskap ancaman siber berbasis spesialisasi yang semakin dinamis ini, akan sulit bagi perusahaan untuk memahami penggunaan alat dan pendekatan yang selalu berubah-rubah yang dilakukan oleh para penyerang. Untuk itu, sangat penting bagi para penjaga keamanan untuk memahami apa yang harus dicari pada setiap tahap rantai serangan yang terjadi, sehingga mereka dapat mendeteksi dan menetralisir serangan secepat mungkin," ujar Jhon Shier dalam keterangan resmi, Jumat (1/8/2022).

Penelitian dari Sophos juga menunjukkan bahwa dwell time penyusup dilakukan lebih lama di lingkungan perusahaan yang lebih kecil.

Para penyerang dapat bertahan selama kurang lebih 51 hari di perusahaan yang memiliki karyawan hingga 250 orang, sementara mereka biasanya menghabiskan 20 hari di perusahaan dengan 3.000 hingga 5.000 karyawan.

Para penyerang menganggap perusahaan-perusahaan yang lebih besar lebih berharga, sehingga mereka lebih termotivasi untuk masuk mendapatkan apa yang mereka inginkan, dan keluar.

Perusahaan-perusahaan yang lebih kecil memiliki 'nilai' yang lebih sedikit, sehingga penyerang dapat mengintai di sekitar jaringan untuk waktu yang lebih lama.

"Mungkin juga para penyerang ini kurang berpengalaman dan membutuhkan lebih banyak waktu untuk mencari tahu apa yang harus dilakukan begitu mereka berada di dalam jaringan. Terakhir, organisasi yang lebih kecil biasanya memiliki visibilitas yang lebih rendah untuk mendeteksi dan mengeluarkan para penyerang, sehingga hal ini memperpanjang kehadiran mereka,” imbuh Shier.

Dengan peluang yang mereka dapatkan dari adanya kerentanan di ProxyLogon dan ProxyShell yang belum ditambal dan dengan adanya kebangkitan IAB, kami melihat terdapat lebih banyak bukti dari banyak para penyerang dalam melakukan satu target. Jika di dalam jaringan tersebut ramai, penyerang akan ingin bergerak cepat untuk mengalahkan pesaing mereka.

Tanda-tanda berbahaya yang harus diwaspadai oleh para penjaga keamanan termasuk pendeteksian menggunakan alat yang legal, menggunakan kombinasi alat, atau aktivitas di tempat yang tidak terduga atau pada waktu yang tidak biasa.

Perlu dicatat bahwa mungkin ada saat-saat di mana ada aktivitas yang sedikit atau tidak ada sama sekali, tetapi itu tidak berarti sebuah organisasi tidak disusupi.

Ada, misalnya, kemungkinan akan lebih banyak lagi pelanggaran-pelanggaran ProxyLogon atau ProxyShell yang saat ini tidak diketahui, di mana web shell dan backdoors telah ditanamkan dalam target untuk akses secara terus menerus dan berdiam di tempat sampai akses tersebut digunakan atau dijual.

Para penjaga keamanan harus waspada terhadap sinyal yang mencurigakan dan segera menyelidikinya. Mereka perlu menambal kerusakan kritis yang terjadi, terutama yang ada di perangkat lunak yang banyak digunakan, dan, sebagai prioritas, untuk memperkuat keamanan layanan akses jarak jauh.

Hampir semua orang dapat masuk dann mungkin akan melakukan penyerangan sampai titik masuk yang terbuka tersebut ditutup dan semua yang telah dilakukan oleh para penyerang untuk membangun dan mempertahankan akses benar-benar diberantas.

Sophos Active Adversary Playbook 2022 didasarkan pada 144 insiden yang terjadi pada tahun 2021, dengan menargetkan perusahaan-perusahaan dari semua ukuran di berbagai sektor industri, dan berlokasi di AS, Kanada, Inggris, Jerman, Italia, Spanyol, Prancis, Swiss, Belgia, Belanda, Austria, Uni Emirat Arab, Arab Saudi, Filipina, Bahama, Angola, dan Jepang. Sektor-sektor yang paling terwakili adalah manufaktur (17%), diikuti oleh ritel (14%), kesehatan (13%), IT (9%), konstruksi (8%), dan pendidikan (6%).

Tujuan dari laporan Sophos adalah membantu tim keamanan perusahaan untuk memahami apa yang dilakukan para penyerang selama serangan dan bagaimana mengenali dan mempertahankan diri dari aktivitas-aktiviatas yang berbahaya di jaringan.

Untuk mempelajari lebih lanjut tentang perilaku, alat, dan teknik para penyerang, baca Sophos Active Adversary Playbook 2022 di Sophos News.