Kampanye SMOKE#SCREEN: Modus Baru Serangan Social Engineering
Peneliti keamanan dari Securonix Threat Research mengungkap kampanye serangan siber multi-gelombang yang mereka beri nama SMOKE#SCREEN. Modusnya licik: pelaku menggunakan berbagai umpan social engineering yang terus dirotasi — mulai dari pembaruan Zoom palsu, notifikasi Adobe, review dokumen bisnis, hingga tool maintenance sistem — untuk diam-diam menginstal ConnectWise ScreenConnect ke perangkat korban.
ScreenConnect adalah aplikasi remote monitoring and management (RMM) yang sah dan digunakan oleh tim IT di seluruh dunia. Justru di situlah bahayanya: begitu terinstal, penyerang mendapatkan akses remote penuh yang persis seperti aktivitas IT resmi. Tim keamanan internal hampir mustahil membedakannya dari aktivitas administrator biasa.
“Kampanye ini mengandalkan toolkit yang terdiri dari VBScript dropper, batch file loader, executable .NET terkompilasi, dan halaman phishing HTML, semuanya bermuara ke staging server berbasis WsgiDAV di 207.174.0.143:8080,” tulis laporan Securonix. “Korban yang mengeksekusi file akses awal akan langsung mendapatkan agen ScreenConnect yang berfungsi penuh dan terhubung ke salah satu dari tiga server relay yang dikendalikan penyerang.”
Ini bukan serangan phishing biasa. Pelaku tidak cuma mencuri password — mereka menanamkan pintu belakang permanen yang memberikan kendali penuh atas perangkat korban, dengan tampilan yang sah secara hukum karena menggunakan software bertanda tangan digital ConnectWise.
Dari VBScript Hati-Hati ke Penghancuran Defender: Evolusi Tiga Fase
Salah satu temuan paling menarik dari investigasi ini adalah bagaimana toolkit penyerang berevolusi secara dramatis dalam waktu singkat. Securonix mendokumentasikan tiga fase berbeda:
Fase 1 — Hati-hati: Sampel VBScript pertama menggunakan enkripsi XOR, eksekusi berbasis state machine untuk mengelabui analisis statis, operasi aritmatika sampah untuk mengubah signature antar build, dan pengecekan lingkungan yang akan membatalkan eksekusi jika mesin memiliki RAM kurang dari 2 GB atau menjalankan alat analisis seperti Wireshark dan Process Monitor.
Fase 2 — Agresif: Sampel ketiga meninggalkan semua kehalusan dan beralih ke pendekatan brutal: sebuah batch file yang menonaktifkan AMSI melalui memory patching, meluncurkan ulang dirinya dengan prompt UAC yang disamarkan sebagai system maintenance tool, mematikan SmartScreen melalui modifikasi registry, menambahkan seluruh drive C:\ sebagai pengecualian Windows Defender, menghentikan dan menonaktifkan permanen layanan WinDefend, serta menghapus Zone.Identifier stream dari MSI sebelum menjalankannya secara senyap.
Fase 3 — Kembali ke Stealth: Yang paling signifikan, di tengah investigasi Securonix, pelaku melakukan rotasi payload besar-besaran. MemoryLoader.cs yang agresif — yang menjalankan sembilan langkah penghancuran Defender dalam 15 detik — diganti dengan loader.cs yang mengambil pendekatan sebaliknya: hindari deteksi sepenuhnya, bukan hancurkan.
Dan inilah bukti paling eksplisit bahwa pelaku melakukan pengujian terhadap produk keamanan komersial. Di kode sumber loader baru, peneliti menemukan komentar:
// WAIT 3 MINUTES (Breaks Elastic correlation)
Thread.Sleep(180000);
Pelaku secara sengaja memperkenalkan jeda 180 detik antara instalasi MSI dan aktivasi layanan untuk memecahkan jendela korelasi EDR — dan mereka secara spesifik menyasar Elastic. Ini adalah bukti langsung bahwa malware modern tidak lagi dibuat asal-asalan; pelaku mengamati, menguji, dan beradaptasi berdasarkan deteksi yang berhasil.
Halaman Zoom Palsu yang Sangat Meyakinkan
Bagian paling mengkhawatirkan dari kampanye ini adalah kualitas halaman phishing-nya. Halaman HTML zoom-update.html bukan template murahan — ini adalah replika yang sangat dipoles: logo SVG yang benar, kode warna hex merek yang tepat, nomor versi palsu, pesan urgensi tentang koneksi aman yang gagal, dan timer JavaScript yang memicu pengunduhan otomatis setelah dua detik tanpa perlu klik.
Halaman itu kemudian menginstruksikan korban untuk menjalankan MSI yang diunduh untuk “menyelesaikan pembaruan.” Saat korban melakukannya, penyerang sudah memiliki relay yang menunggu. Tidak diperlukan interaksi lebih lanjut — akses sudah didapatkan.
Strategi distribusi pelaku juga cerdik. Halaman phishing awal mengirimkan payload melalui shared link Dropbox, melewati filter reputasi domain karena Dropbox adalah platform yang diizinkan di hampir semua lingkungan korporat. Loader .NET yang dikompilasi menggunakan Cloudflare Quick Tunnel (subscription-magnetic-recommended-meat.trycloudflare.com) — layanan untuk eksposur server lokal sementara yang jarang dimonitor. Staging server-nya sendiri menjalankan cloudflared.exe, mengonfirmasi bahwa pelaku menggunakan biner Cloudflare langsung di infrastruktur mereka untuk membuat tunnel sementara.
ScreenConnect yang Sah: Kenapa Ini Berbahaya
Payload akhir di setiap jalur serangan adalah MSI ScreenConnect yang asli, ditandatangani dengan sertifikat DigiCert yang valid atas nama ConnectWise, LLC. Ini adalah teknik evasi paling signifikan dalam arsenal pelaku: banyak produk EDR menerapkan pengawasan yang lebih rendah pada biner yang ditandatangani oleh vendor perangkat lunak enterprise yang dikenal.
“Semua file MSI ditandatangani dengan sertifikat Authenticode valid yang diterbitkan untuk Connectwise, LLC oleh rantai root tepercaya DigiCert,” jelas Securonix. “Begitu terinstal, setiap agen secara diam-diam terhubung ke server relay yang dikonfigurasi dengan parameter URL e=Access&y=Guest, muncul sebagai koneksi akses tamu.”
Yang membuat ini semakin sulit dideteksi: pelaku menggunakan koneksi langsung ke alamat IP, bukan ke subdomain ConnectWise. Ini adalah red flag yang harus segera diinvestigasi — setiap koneksi ScreenConnect ke alamat IP, bukan domain vendor, patut dicurigai.
Varian macOS dan Infrastruktur Terbuka
Saat peneliti Securonix mengikuti jejak satu VBScript dropper bernama zoom-update.vbs, mereka menemukan sesuatu yang mengejutkan: seluruh direktori staging server bisa diakses secara terbuka, mengekspos 15 file payload. Server yang sama (IP 207.174.0.143) yang menghosting staging server juga menjalankan relay ScreenConnect utama di port 8041 — satu mesin untuk mengirimkan payload dan mengendalikan host yang sudah terkompromi.
Kampanye ini juga memiliki varian macOS: ZoomUpdateInstaller.pkg yang terhubung ke server relay utama yang sama dengan MSI Windows. Ini menunjukkan pelaku tidak membatasi target pada satu platform — mereka mengincar kedua ekosistem dengan infrastruktur yang sama.
Apa yang Bisa Dilakukan untuk Mendeteksi dan Melindungi?
Securonix memberikan panduan deteksi praktis yang berfokus pada perilaku, bukan signature. Berikut langkah-langkah yang direkomendasikan:
- Pantau proses yang mencoba menghentikan WinDefend atau menambahkan C:\ sebagai pengecualian Defender
- Blokir instalasi MSI dari %TEMP% atau AppData — ini adalah lokasi yang tidak wajar untuk instalasi software sah
- Waspadai RMM tools yang terhubung ke alamat IP mentah alih-alih domain vendor resmi
- Anggap setiap koneksi ScreenConnect ke IP address sebagai red flag yang layak diinvestigasi segera
- Monitor Cloudflare Quick Tunnel (trycloudflare.com) di jaringan — layanan ini sering disalahgunakan karena sifatnya yang sementara dan jarang dimonitor
- Periksa file VBScript dan batch mencurigakan yang mengunduh MSI dari sumber tidak dikenal
Yang paling penting: latih pengguna untuk mengenali pembaruan palsu. Zoom, Adobe, atau software apapun tidak akan pernah meminta kamu mengunduh pembaruan melalui halaman web tidak resmi atau link Dropbox. Selalu perbarui software melalui aplikasi resmi atau situs vendor langsung.
“Kampanye SMOKE#SCREEN menunjukkan aktor ancaman yang mumpuni, aktif memelihara toolkit-nya, dan beradaptasi dengan cepat — semuanya dengan satu tujuan: mendapatkan akses remote persisten yang terlihat sah ke sistem korban melalui deployment ScreenConnect yang dipersenjatai,” simpul laporan Securonix.
Kampanye ini juga menunjukkan pola yang semakin umum di lanskap ancaman modern: penyerang semakin cerdas dalam menyalahgunakan tool sah untuk menghindari deteksi. Dari RMM tool seperti ScreenConnect hingga layanan Cloudflare, batas antara aktivitas IT normal dan serangan semakin tipis — dan itulah yang membuat kampanye seperti SMOKE#SCREEN sangat berbahaya.
Baca Juga:
- Keamanan Data Digital: Panduan Lengkap Melindungi Data Pribadi & Bisnis dari Kebocoran
- Serangan Supply Chain npm: 860+ Paket Terkompromi dalam 4 Jam
Dikutip dari Security Affairs dan laporan Securonix Threat Research.
Leave a Comment