Microsoft mengungkap aktivitas serangan siber yang dikaitkan dengan kelompok Storm-2949. Kampanye ini menargetkan akun Microsoft Entra ID untuk mencuri data sensitif dari Microsoft 365 dan layanan Azure.
Serangan ini perlu diwaspadai karena pelaku tidak selalu menggunakan malware. Mereka justru menyalahgunakan fitur resmi Microsoft, sehingga aktivitasnya dapat terlihat seperti aktivitas pengguna atau administrator biasa.
Tingkat risiko: Tinggi
Bagaimana Serangan Dilakukan?
Pelaku menggunakan teknik rekayasa sosial dengan menyamar sebagai petugas dukungan TI. Korban kemudian diarahkan untuk melakukan reset password atau menyetujui permintaan MFA yang sebenarnya berasal dari pelaku.
Setelah akun berhasil diambil alih, pelaku dapat:
- Mengakses informasi akun melalui Microsoft Graph API
- Mencari dan mengunduh file dari OneDrive dan SharePoint
- Mengakses layanan Azure melalui akun dengan hak akses tinggi
- Memanfaatkan Azure Virtual Machine untuk mempertahankan akses
Layanan yang Berpotensi Terdampak
Serangan ini dapat memengaruhi beberapa layanan, antara lain:
- Microsoft Entra ID
- Microsoft OneDrive
- Microsoft SharePoint
- Azure App Service
- Azure Key Vault
- Azure Storage
- Azure SQL Server
- Azure Virtual Machines
Risiko akan semakin tinggi apabila akun yang berhasil diretas memiliki akses administrator atau hak Azure RBAC yang luas.
Risiko yang Dapat Terjadi
Setelah memperoleh akses, pelaku dapat mengambil dokumen penting, kredensial aplikasi, secret, storage key, dan data pada database.
Pelaku juga dapat mengubah konfigurasi firewall, menjalankan perintah pada virtual machine, membuat akun administrator baru, serta menghapus jejak aktivitas untuk mempersulit proses investigasi.
Langkah Mitigasi
Beberapa tindakan yang dapat dilakukan untuk mengurangi risiko antara lain:
- Apply MFA yang tahan phishing untuk administrator dan akun berprivilege.
- Aktifkan Microsoft Entra ID Protection Dan Conditional Access.
- Terapkan prinsip least privilege dan lakukan audit Azure RBAC secara berkala.
- Batasi akses publik pada Azure Storage dan Key Vault.
- Pantau perubahan firewall, metode MFA, role assignment, dan aktivitas download dalam jumlah besar.
- Audit penggunaan Azure VM Run Command dan VMAccess.
- Aktifkan logging dan monitoring untuk aktivitas Microsoft 365 dan Azure.
Kesimpulan
Kampanye Storm-2949 menunjukkan bahwa akun cloud dapat menjadi pintu masuk untuk mencuri data dari Microsoft 365 dan Azure. Organisasi perlu memperkuat keamanan akun, membatasi hak akses, serta memantau aktivitas yang tidak biasa.
Pengguna juga perlu berhati-hati terhadap permintaan reset password atau MFA yang tidak dikenali, meskipun permintaan tersebut terlihat berasal dari layanan resmi.
Referensi:
https://cybersecuritynews.com/hackers-abuse-microsoft-entra-id-accounts/
