bytedaily - Melansir laporan cnnindonesia.com, penjahat siber menggunakan email dan undangan kalender palsu untuk menyebarkan malware. Perusahaan keamanan siber Sublime mencatat serangan dengan modus ini meningkat tajam dalam beberapa bulan terakhir.
Menurut laporan Sublime, jumlah serangan naik sekitar 282 persen pada Juni dibandingkan Mei. Angkanya kembali melonjak hingga 1.216 persen pada Agustus dan diperkirakan mencapai 2.852 persen pada September.
Sublime menilai modus tersebut semakin sering digunakan karena relatif mudah dilakukan dan memanfaatkan pengaturan bawaan fitur undangan kalender di banyak aplikasi email. Teknik ini disebut ICS phishing, dengan memanfaatkan file ICS yang menjadi bagian dari standar iCalendar dan memuat informasi rapat atau janji temu.
Sejumlah aplikasi, termasuk Microsoft Outlook, Gmail, dan Apple Mail, dapat menambahkan file ICS dari email ke kalender sebelum penerima memilih untuk menerima atau menolak undangan.
Dalam salah satu serangan terbaru yang disoroti Sublime, undangan Google Calendar memuat tautan menuju file berbahaya. File itu berisi perangkat lunak remote monitoring and management (RMM), yang digunakan untuk memantau atau mengelola perangkat dari jarak jauh.
Pesan dalam undangan tersebut menjanjikan pengembalian atau pengkreditan dana terkait tagihan terbaru yang disebut belum dibayar, lalu mengajak penerima menghadiri rapat untuk membahasnya. Undangan dikirim menggunakan akun Gmail sehingga berpotensi melewati pemblokiran yang hanya memeriksa domain pengirim. Bergantung pada aplikasi email yang dipakai, undangan juga dapat lolos dari pemeriksaan keamanan dan masuk otomatis ke kotak masuk. Sublime menyebut undangan itu masih mungkin muncul di kalender meski emailnya diblokir.
Jika penerima membuka tautan dari email atau entri kalender, mereka diarahkan ke situs yang dihosting oleh Farmer, layanan penyedia paket hosting gratis. Di situs itu, pengguna diminta menekan tombol View Here untuk mengunduh dokumen yang diklaim sebagai nota kredit atau bukti pengurangan tagihan, padahal tautannya mengarah ke file berbahaya.
Apabila tidak terdeteksi oleh perangkat lunak keamanan, file instalasi berformat MSI akan diunduh ke perangkat. File tersebut menyertakan informasi konfigurasi yang memanfaatkan ScreenConnect, perangkat lunak akses jarak jauh yang sah, untuk menjalankan fungsi server Command and Control (C2). Server C2 dapat digunakan penyerang untuk mengendalikan sistem yang terinfeksi dan mengirimkan perintah ke perangkat itu.
Dikutip dari ZDNET, salah satu faktor yang membuat modus ini efektif adalah undangan rapat dapat muncul di kotak masuk email sekaligus kalender, sehingga pengguna terpapar ancaman melalui dua tempat.
