Ringkasan singkat: DART (Tim Deteksi dan Respons Microsoft) telah menyelidiki dan menerbitkan laporan mengenai serangan ransomware yang secara aktif menargetkan server SharePoint lokal yang terhubung ke internet. Selama penyelidikan, terungkap bahwa ada aktor ancaman kedua yang beroperasi di lingkungan yang sama secara bersamaan, yang mengindikasikan adanya tumpang tindih dalam kampanye serangan tersebut.
Apa yang Terjadi
Aktor ancaman yang diidentifikasi sebagai Storm-2603 yang berbasis di Tiongkok telah menargetkan server SharePoint sejak (setidaknya) pertengahan tahun 2025. Serangan tersebut memanfaatkan dua kerentanan yang sudah diketahui:
- CVE-2025-49706: Otentikasi Microsoft Office SharePoint yang tidak tepat memungkinkan penyerang melakukan spoofing melalui jaringan
- CVE-2025-49704: injeksi kode di Microsoft Office SharePoint, yang memungkinkan penyerang menjalankan kode melalui jaringan
Setelah berhasil menyusup, Storm-2603 mencari titik masuk tambahan melalui kegiatan pengintaian, termasuk permintaan berkas konfigurasi yang sensitif. Dalam kasus ini, berkas win.ini dan web.config.
Serangan tersebut dilakukan dalam tiga tahap:
1. Kelompok tersebut memanfaatkan Velociraptor dengan hak akses tingkat SISTEM untuk memetakan lingkungan, dengan sengaja menyamarkan aktivitas berbahaya di balik perilaku administratif yang terpercaya.
2. Akses jarak jauh kemudian diwujudkan melalui beberapa saluran: terowongan Cloudflare, Zoho Assist, dan koneksi SSH yang dikonfigurasi melalui Visual Studio Code.
3. Selanjutnya terjadi eskalasi hak akses, dengan dibuatnya akun-akun administrator lokal dan domain baru untuk mempertahankan akses tersebut.
Saat DART melakukan penyelidikan, mereka menemukan aktor ancaman kedua yang tidak terkait dan beroperasi secara paralel. Aktor ini menggunakan dua teknik yang tidak terkait dengan Storm-2603.
- Pemuatan DLL secara tidak resmi, untuk menyisipkan kode berbahaya ke dalam berkas sistem Windows yang sah, sehingga kode tersebut dijalankan dengan menyamar sebagai bagian dari proses yang tepercaya
- Pintu belakang khusus; alat yang dirancang khusus untuk mempertahankan akses tersembunyi yang kemungkinan besar tidak akan terdeteksi oleh alat keamanan standar
Kedua teknik tersebut dirancang untuk menyembunyikan jejak, sehingga keberadaan pelaku kedua tidak terdeteksi. Hingga artikel ini ditulis, pelaku kedua belum teridentifikasi.
Satu penyerang yang berhasil masuk saja sudah cukup buruk.
Kedua, beroperasi secara independen di lingkungan yang sama yang telah disusupi merupakan masalah yang sama sekali berbeda, yang mengindikasikan bahwa begitu sebuah kerentanan diungkap, berbagai aktor ancaman akan berlomba-lomba untuk memanfaatkannya. Storm-2603 mungkin menjadi yang pertama memanfaatkannya, tetapi mereka bukanlah yang terakhir; dan hampir pasti mereka tidak akan menjadi satu-satunya kelompok yang melakukannya di masa mendatang.
Laporan tersebut tidak memastikan bahwa kedua aktor tersebut saling terkait atau berkoordinasi. Namun, baik disengaja maupun tidak, mereka saling menyamarkan keberadaan satu sama lain melalui dua rangkaian aktivitas berbahaya yang ditanamkan secara berlapis dalam lingkungan yang sama.
Siapa yang Terkena Dampaknya
Berdasarkan laporan Microsoft, serangan tersebut berdampak pada setidaknya dua organisasi. Bukti forensik mengenai pergerakan lateral membuat DART berhasil mengidentifikasi dan menghubungi korban kedua, yang dikonfirmasi telah disusupi oleh aktivitas ransomware yang sama dengan korban pertama.
Belum ada organisasi lain yang dipastikan telah diretas.
Namun, organisasi mana pun yang mengoperasikan server SharePoint di lokasi sendiri dan belum menerapkan pembaruan keamanan Microsoft untuk CVE-2025-49706 dan CVE-2025-49704 tetap rentan terhadap vektor serangan yang sama.
Rekomendasi Microsoft
Dalam laporannya, DART merekomendasikan serangkaian langkah perbaikan dan kebijakan keamanan yang mencakup seluruh permukaan serangan yang dimanfaatkan oleh Storm-2603. Organisasi yang mengoperasikan server SharePoint di lokasi sendiri sebaiknya menjadikan hal-hal berikut sebagai pedoman dasar.
- Segera lakukan pembaruan pada sistem yang terhubung ke internet, dengan memprioritaskan infrastruktur kritis
- Buatlah proses berkelanjutan untuk mengidentifikasi, mengevaluasi, dan memperbaiki kerentanan. Pastikan bahwa pembaruan telah diterapkan
- Perlakukan identitas dengan hak akses tinggi sebagai titik rentan utama: terapkan pengendalian identitas yang ketat dan pantau proses masuk dengan hak akses istimewa
- Terapkan akses bersyarat dan perlindungan identitas untuk mendeteksi aktivitas otentikasi yang tidak wajar sejak dini
- Terapkan solusi perlindungan titik akhir di seluruh lingkungan
- Simpan data telemetri secara terpusat (misalnya, di dalam SIEM) untuk mendukung penyelidikan, korelasi, dan rekonstruksi kronologi
- Laksanakan pemantauan berkelanjutan dan penyimpanan log jangka panjang untuk mengungkap aktivitas berbahaya serta memungkinkan penyelidikan yang menyeluruh
- Melakukan audit dan menyetujui semua perangkat lunak manajemen jarak jauh, utilitas terowongan, dan perangkat pengembang yang sedang digunakan. Memantau adanya penggunaan yang tidak lazim
- Kembangkan pedoman tanggap insiden yang telah ditetapkan sebelumnya, uji secara berkala, dan pastikan tim siap bertindak dengan cepat
- Pastikan kredensial, perangkat, dan jalur akses yang telah disusupi dapat segera diisolasi guna membatasi pergerakan lateral
Mengapa Serangan Itu Sulit Dideteksi
Para penyerang melakukan serangan tersebut dengan sistematis; mereka mengetahui alat-alat apa saja yang dipercaya oleh tim keamanan, proses-proses apa saja yang tampak seperti aktivitas administratif biasa, serta cara agar tetap tersembunyi lebih lama.
Penyalahgunaan Alat yang Sah
Para penyerang sengaja menggunakan perangkat lunak yang pada dasarnya tidak akan memicu peringatan keamanan. Velociraptor adalah alat forensik yang sah; Cloudflare, Zoho Assist, dan Visual Studio Code adalah aplikasi yang banyak digunakan. Mesin antivirus yang memindai perangkat lunak berbahaya yang sudah dikenal tidak akan memiliki alasan yang jelas untuk menandai aplikasi-aplikasi tersebut.
Penonaktifan Aktif Perlindungan " Endpoint "
Laporan tersebut menyebutkan bahwa pelaku ancaman memuat driver yang rentan (NSecKrnl.sys) untuk merusak memori dan menonaktifkan perlindungan perangkat akhir. Hal ini berarti alat-alat keamanan telah dinetralkan secara aktif sebelum sempat mendeteksi aktivitas selanjutnya.
Kamuflase Khusus
Berdasarkan aktivitas yang terungkap oleh Microsoft, sebagaimana tercantum dalam laporan resmi mereka, pelaku kedua menyembunyikan kode berbahaya di dalam proses yang sah. Teknik trojan horse tersebut menyamarkan kode tersebut, sehingga lebih sulit dibedakan dari aktivitas sistem yang normal.
Keunggulan Penyerang
Satu serangan saja tidak cukup untuk menggambarkan keseluruhan cerita di balik sebuah pelanggaran keamanan. Oleh karena itu, sekadar menerapkan patch dan melanjutkan aktivitas seperti biasa mungkin bukanlah akhir dari eksploitasi Storm-2603.
Dua penyerang yang menyusup melalui dua metode berbeda di lingkungan yang sama menunjukkan bahwa pertahanan berlapis tunggal tidak akan pernah cukup. Hal ini juga berarti tidak ada cara yang pasti untuk memperkirakan berapa banyak sistem lain yang saat ini telah diretas, dengan pelaku di dalamnya memilih untuk tetap bersembunyi. Pemasangan patch menutup celah keamanan yang dieksploitasi, tetapi hal itu tidak berpengaruh apa-apa terhadap ancaman yang mungkin sudah ada dalam keadaan tidak aktif di perpustakaan SharePoint Anda.
Yang ada dalam kendali Anda adalah memastikan data di dalamnya sesulit mungkin untuk diakses, dipindahkan, dan dimanfaatkan sebagai senjata.
Mulailah dari tingkat berkas dengan MetaDefender Storage Security dan kembangkan dari sana.
