Microsoft Bongkar Jaringan Phishing Global, 1 Miliar Pesan Malicious Disetop

Telset.id – Microsoft bersama Japanese National Police Agency berhasil membongkar jaringan toko aplikasi kriminal yang menyebarkan lebih dari satu miliar pesan malicious ke 75.000 organisasi di lebih dari 150 negara. Operasi ini mengungkap tiga elemen utama marketplace kriminal, yakni YAM Store, CoGUI, dan Iron Man, yang telah menghasilkan jutaan dolar bagi para pelakunya.

Pengungkapan ini menjadi penting karena jaringan tersebut tidak hanya menyasar korban secara acak, tetapi menyediakan infrastruktur siap pakai bagi para penjahat siber untuk menipu target mereka. Dari total pesan yang dikirim, sebanyak 750 juta di antaranya diarahkan langsung ke pelanggan Microsoft sendiri. Operasi ini melibatkan sejumlah mitra industri, termasuk Cloudflare, Oracle, Proofpoint, Resecurity, dan TRM Labs.

Penyelidikan terhadap ekosistem kejahatan siber yang menargetkan bisnis dan warga Jepang ini menemukan bahwa ketiga layanan tersebut menyediakan jalan masuk bagi para pelaku kejahatan siber. Lingkungan tersebut menyediakan situs web palsu dan pesan yang sudah dirancang sebelumnya, dibuat untuk menipu target agar mengira sedang berinteraksi dengan pihak asli.

Salah satu situs yang dipalsukan adalah Amazon, yang dijual agar penipu dapat dengan mudah menghosting halaman meyakinkan untuk mencuri kredensial login dan pembayaran, tanpa perlu menyewa pembuat kode sendiri. Pemalsuan lain yang dijual mencakup instansi pemerintah, lembaga keuangan, dan perusahaan ternama lainnya.

Perangkat lunak penyaring keamanan awalnya tidak mampu menangani framework phishing-as-a-service (Phaas) CoGUI karena menggunakan metode canggih untuk menghindari deteksi, termasuk browser fingerprinting dan geofencing. Menarik untuk dicatat, CoGUI tampaknya menargetkan korban di Jepang dan AS, tetapi selama penyelidikan berlangsung, layanan ini digantikan oleh layanan baru bernama Iron Man.

Ketiga komponen tersebut sebenarnya sudah diketahui oleh Microsoft dan otoritas, tetapi dibutuhkan upaya terkoordinasi untuk menyusup ke jaringan penjahat siber yang menggunakan layanan tersebut. Ketiganya dihosting dalam lingkungan berbahasa Mandarin sepenuhnya, sehingga memerlukan penutur asli untuk bergabung dalam tim penyelidik dan mendapatkan akses ke marketplace kriminal bawah tanah yang dikenal sebagai YAM Store.

Microsoft memberikan nomor pelacakan Storm-3119 untuk marketplace tersebut, yang dideskripsikannya sebagai “Initial Access Broker.” Marketplace ini didirikan untuk menyediakan lingkungan yang disusupi atau diperoleh secara curang di penyedia seperti Microsoft dan Google kepada para pelanggannya.

Meskipun wajar jika perangkat lunak yang disusupi menjadi perhatian penerbitnya, pembuat YAM Store memiliki cara untuk mengakalinya. Marketplace ini mampu menjaga inventarisnya tetap segar dengan menggunakan otomasi. Sistem tersebut mengidentifikasi “nama lingkungan atau organisasi yang kedaluwarsa dan memanfaatkan informasi pelanggan sah yang terkait dengannya untuk membantu menghindari deteksi yang ada.”

Sebagai bagian dari operasi ini, Microsoft telah menyita domain yang terkait dengan infrastruktur YAM/CoGUI/Iron Man, serta memblokir atau mengalihkan domain tersebut. Langkah ini menutup akses terhadap layanan yang selama ini menjadi tulang punggung distribusi aset kejahatan siber.

Bagi pelaku bisnis dan pengguna individu, kasus ini menunjukkan bahwa pesan scam yang tampak sederhana sering kali merupakan ujung terlihat dari operasi kejahatan siber transnasional yang jauh lebih besar. Ketersediaan template impersonasi dan situs palsu siap pakai menurunkan hambatan bagi pelaku untuk menjalankan aksi penipuan, sekaligus memperbesar skala korban yang dapat dijangkau.

Kolaborasi lintas pihak menjadi kunci dalam operasi ini. Selain Japanese National Police Agency, keterlibatan Cloudflare, Oracle, Proofpoint, Resecurity, dan TRM Labs memperlihatkan bahwa penanganan infrastruktur kriminal berskala global membutuhkan koordinasi antara vendor teknologi, otoritas hukum, dan penyedia layanan keamanan.

Sementara itu, langkah Microsoft menyita dan memblokir domain terkait menjadi tindakan konkret untuk memutus distribusi aset kejahatan siber. Namun, perpindahan dari CoGUI ke Iron Man selama penyelidikan menunjukkan bahwa ekosistem ini bersifat dinamis dan mampu mengganti layanan ketika salah satunya terdeteksi.

Dengan lebih dari satu miliar pesan malicious yang telah dikirim dan 75.000 organisasi di lebih dari 150 negara menjadi target, skala operasi YAM Store, CoGUI, dan Iron Man menegaskan bahwa marketplace kriminal berbasis langganan telah menjadi ancaman yang terstruktur. Penutupan akses terhadap infrastruktur mereka menjadi langkah penting untuk mempersempit ruang gerak para pelaku.