ACEH — Laporan perusahaan keamanan siber Sublime mencatat lonjakan serangan malware lewat undangan kalender palsu hingga 2.852 persen pada September. Penjahat siber memakai teknik ICS phishing untuk menyusup ke Microsoft Outlook, Gmail, dan Apple Mail tanpa perlu korban menerima undangan. Modus ini menyasar pengguna smartphone dan laptop yang mengandalkan aplikasi email bawaan.
Lonjakan tertinggi terjadi secara bertahap sejak pertengahan tahun. Pada Juni, serangan naik sekitar 282 persen dibandingkan Mei. Angka itu kembali meroket 1.216 persen pada Agustus, sebelum diproyeksikan menembus 2.852 persen di September.
Sublime menilai kenaikan ini bukan kebetulan. Pelaku memanfaatkan pengaturan bawaan fitur undangan kalender di banyak aplikasi email, sehingga file undangan bisa masuk otomatis ke kalender target meski emailnya sudah diblokir sistem keamanan.
Teknik yang dipakai disebut ICS phishing. File ICS adalah bagian dari standar iCalendar yang berisi detail undangan rapat atau janji temu. Di Microsoft Outlook, Gmail, dan Apple Mail, file ini bisa langsung ditambahkan ke kalender penerima sebelum mereka memutuskan menerima atau menolak.
Sublime menyoroti satu serangan terbaru yang memakai undangan Google Calendar untuk menyebarkan tautan berbahaya. Korban dijanjikan pengembalian atau pengkreditan dana atas tagihan yang diklaim belum diselesaikan, lalu diundang ke rapat untuk membahasnya.
Undangan dikirim dari akun Gmail sehingga berpotensi lolos dari pemblokiran yang hanya mengandalkan pemeriksaan domain pengirim. Jika sistem keamanan berhasil memblokir emailnya, undangan palsu masih bisa muncul di kalender target.
Setelah korban membuka tautan di email atau entri kalender, mereka diarahkan ke situs yang dihosting layanan Farmer, penyedia paket hosting gratis. Di sana korban diminta menekan tombol View Here untuk mengunduh dokumen yang diklaim sebagai nota kredit.
Tautan itu sebenarnya mengarah ke file berbahaya. Jika tidak diblokir perangkat lunak keamanan, file instalasi berformat MSI akan terunduh ke perangkat korban.
File MSI tersebut tidak hanya mengandung malware. Di dalamnya tersemat informasi konfigurasi yang memanfaatkan ScreenConnect, perangkat lunak akses jarak jauh yang sah, untuk menjalankan fungsi server Command and Control (C2). Server C2 inilah yang memungkinkan penyerang mengendalikan sistem terinfeksi dan mengirim perintah ke perangkat korban.
Undangan rapat dikirim ke inbox email sekaligus kalender, sehingga pengguna terpapar ancaman di dua tempat. Sebagian besar aplikasi email punya sistem keamanan untuk inbox, tetapi belum tentu memberi perlindungan setara pada fitur kalender.
Pelaku juga memanfaatkan platform Google lewat Gmail dan Google Calendar, atau infrastruktur Microsoft. Karena kedua perusahaan punya reputasi terpercaya, serangan lebih mudah lolos dari deteksi. Layanan gratis yang dipakai membuat biaya operasional penipu nyaris nol.
"Hal yang membuat serangan ini berhasil adalah kepercayaan yang muncul secara tidak langsung, baik terhadap kedua sistem yang digunakan maupun terhadap undangan itu sendiri," kata John Gallagher, VP Viakoo.
Gallagher menambahkan pelaku mengandalkan asumsi bahwa korban masih memakai pengaturan bawaan, dan undangan kalender tidak dianggap mencurigakan seperti email phishing pada umumnya.
"Bahaya sebenarnya terletak pada isi undangan tersebut. Tautan atau kode QR di dalamnya dapat membahayakan sistem korban. Bahkan, menolak undangan pun bisa memberikan informasi kepada pelaku bahwa alamat email tersebut aktif," imbuhnya.
Pengguna smartphone dan laptop di Indonesia yang aktif memakai Gmail, Outlook, atau Apple Mail masuk kategori rentan. Undangan meeting dari pengirim tak dikenal sebaiknya tidak diklik, termasuk tautan maupun kode QR di dalamnya.
Menolak undangan juga bukan langkah aman sepenuhnya, karena konfirmasi penolakan bisa menjadi sinyal bagi pelaku bahwa alamat email target masih aktif. Pengguna disarankan memeriksa pengaturan kalender dan menonaktifkan penambahan undangan otomatis dari pengirim luar.