Waspada! Undangan Meeting Palsu di Kalender Sebar Malware

Penjahat siber kini memanfaatkan undangan rapat palsu di kalender digital untuk menyebarkan malware ke perangkat korban. Modus yang dikenal sebagai ICS phishing ini memanfaatkan email dan fitur kalender pada layanan populer seperti Gmail, Google Calendar, Microsoft Outlook, dan Apple Mail. Serangan tersebut dilaporkan meningkat tajam dan berpotensi mencuri akses perangkat melalui tautan berbahaya yang disisipkan dalam undangan.

Laporan terbaru perusahaan keamanan siber Sublime mengungkap peningkatan signifikan serangan malware yang memanfaatkan undangan kalender dalam beberapa bulan terakhir. Modus ini semakin mengkhawatirkan karena pelaku dapat menyusupkan undangan ke kalender korban, bahkan ketika email yang menjadi jalur pengiriman telah terdeteksi atau diblokir oleh sistem keamanan.

Menurut laporan tersebut, jumlah serangan meningkat sekitar 282 persen pada Juni dibandingkan Mei. Angka itu kembali melonjak hingga 1.216 persen pada Agustus dan diperkirakan mencapai 2.852 persen pada September.

Lonjakan tersebut menunjukkan bahwa kalender digital tidak hanya menjadi alat untuk mengatur jadwal pekerjaan, tetapi juga berpotensi dimanfaatkan sebagai jalur baru penyebaran malware.

Modus ICS Phishing Manfaatkan Undangan Kalender

Dalam menjalankan aksinya, penjahat siber menggunakan teknik yang disebut ICS phishing. Teknik ini memanfaatkan file berformat ICS, bagian dari standar iCalendar yang digunakan untuk menyimpan dan membagikan informasi acara, rapat, atau janji temu.

File tersebut biasanya memuat informasi seperti judul acara, waktu pelaksanaan, penyelenggara, serta tautan untuk bergabung dalam rapat.

Masalahnya, sejumlah aplikasi email dan kalender, termasuk Microsoft Outlook, Gmail, dan Apple Mail, dapat memproses undangan tersebut secara otomatis. Dalam konfigurasi tertentu, acara bahkan bisa ditambahkan ke kalender sebelum pengguna memutuskan untuk menerima atau menolak undangan.

Kondisi ini dimanfaatkan penyerang untuk menyisipkan tautan berbahaya ke dalam undangan yang terlihat seperti agenda rapat biasa. Karena muncul sebagai jadwal di kalender, undangan tersebut berpotensi dianggap lebih tepercaya dibandingkan email mencurigakan yang masuk ke kotak masuk.

Pelaku juga dapat menggunakan identitas pengirim yang terlihat meyakinkan untuk meningkatkan kemungkinan korban membuka tautan yang disediakan.

Korban Dijanjikan Pengembalian Dana

Salah satu kasus yang disoroti Sublime memperlihatkan bagaimana penyerang menggunakan undangan Google Calendar untuk menyebarkan tautan menuju file berbahaya.

Dalam skenario tersebut, korban menerima pesan yang mengklaim bahwa terdapat tagihan terbaru yang belum diselesaikan. Pesan itu kemudian menawarkan pengembalian dana atau pengkreditan atas tagihan tersebut dan mengundang penerima untuk mengikuti rapat guna membahas persoalannya.

Strategi ini dirancang untuk memancing rasa penasaran sekaligus mendorong korban segera mengambil tindakan. Pengguna yang merasa tidak pernah melakukan transaksi terkait bisa saja membuka undangan untuk mencari tahu masalah yang sebenarnya.

Undangan tersebut dikirim menggunakan akun Gmail. Akibatnya, serangan berpotensi lolos dari sistem penyaringan yang hanya mengandalkan pemeriksaan domain pengirim sebagai salah satu indikator ancaman.

Setelah korban membuka tautan dalam email atau entri kalender, mereka diarahkan ke situs yang dihosting melalui layanan Farmer, penyedia layanan hosting gratis. Di situs tersebut, korban diminta mengeklik tombol bertuliskan View Here untuk mengunduh dokumen yang diklaim sebagai nota kredit atau bukti pengurangan tagihan.

Namun, dokumen yang dijanjikan ternyata merupakan kedok untuk mengunduh file berbahaya.

Jika tidak terdeteksi oleh perangkat lunak keamanan, file instalasi berformat MSI akan terunduh ke perangkat korban. File tersebut membawa perangkat lunak remote monitoring and management (RMM), yang dapat digunakan untuk memantau dan mengelola perangkat dari jarak jauh.

Dalam kasus ini, penyerang memanfaatkan ScreenConnect, perangkat lunak akses jarak jauh yang sah. Perangkat tersebut dikonfigurasi agar dapat berkomunikasi dengan server command and control (C2).

Server C2 memungkinkan penyerang berkomunikasi dengan perangkat yang telah terinfeksi dan mengirimkan perintah dari jarak jauh. Apabila berhasil disalahgunakan, akses tersebut dapat membuka peluang bagi pelaku untuk mengendalikan sistem korban tanpa sepengetahuan pemiliknya.

Penggunaan perangkat lunak yang sah membuat serangan semacam ini lebih sulit dikenali hanya berdasarkan nama aplikasi yang digunakan. Aktivitas akses jarak jauh yang sebenarnya legal dapat berubah menjadi ancaman ketika dijalankan tanpa izin dan dikendalikan oleh pihak tidak bertanggung jawab.

Mengapa Undangan Kalender Palsu Efektif?

Dikutip dari ZDNET, terdapat beberapa faktor yang membuat modus ini menarik bagi penjahat siber.

Pertama, undangan dapat menjangkau pengguna melalui dua tempat sekaligus, yakni kotak masuk email dan kalender digital. Dengan demikian, meskipun pengguna mengabaikan email, mereka masih berpotensi melihat acara mencurigakan yang muncul dalam jadwal.

Kedua, sistem keamanan email umumnya dirancang untuk mendeteksi ancaman pada pesan masuk, tetapi perlindungan terhadap entri kalender belum tentu bekerja dengan cara yang sama. Dalam kondisi tertentu, email berbahaya dapat diblokir, sementara acara yang terkait masih muncul di kalender pengguna.

Perbedaan mekanisme perlindungan ini menciptakan celah yang dapat dimanfaatkan pelaku. Pengguna mungkin mengira ancaman sudah tertangani karena email tidak lagi terlihat, padahal undangan tersebut masih tersimpan di kalender.

Ketiga, pelaku memanfaatkan layanan populer seperti Gmail, Google Calendar, dan infrastruktur Microsoft. Karena layanan tersebut lazim digunakan dalam kegiatan sehari-hari, undangan yang masuk melalui platform tersebut dapat terlihat lebih meyakinkan.

Penyerang juga memanfaatkan layanan hosting gratis untuk menyimpan halaman atau file berbahaya. Cara ini membantu menekan biaya operasional sekaligus memungkinkan pelaku mengganti tautan atau infrastruktur serangan dengan relatif mudah.

John Gallagher, VP Viakoo, menilai keberhasilan modus tersebut tidak lepas dari kepercayaan pengguna terhadap platform yang digunakan dan undangan yang diterima.

Menurutnya, penyerang mengandalkan asumsi bahwa pengguna masih memakai pengaturan bawaan aplikasi. Selain itu, undangan kalender sering kali tidak diperlakukan dengan kewaspadaan yang sama seperti email phishing.

Gallagher juga mengingatkan bahwa isi undangan merupakan bagian yang perlu diwaspadai. Tautan maupun kode QR di dalamnya dapat mengarahkan pengguna ke situs berbahaya atau memicu proses yang membahayakan perangkat.

Bahkan, menolak undangan yang tidak dikenal pun berpotensi memberi informasi kepada pelaku bahwa alamat email tersebut aktif, bergantung pada cara aplikasi memproses respons undangan.

Cara Melindungi Diri dari Undangan Meeting Palsu

Untuk mengurangi risiko, pengguna perlu lebih berhati-hati terhadap undangan kalender yang berasal dari orang atau organisasi yang tidak dikenal. Jangan langsung mengeklik tautan hanya karena undangan tersebut muncul di Google Calendar, Outlook, atau aplikasi kalender lainnya.

Berikut beberapa langkah yang dapat dilakukan:

• Periksa identitas pengirim. Pastikan nama, alamat email, dan konteks undangan sesuai dengan rapat atau transaksi yang benar-benar diketahui.
• Waspadai pesan yang mendesak. Klaim mengenai tagihan tertunggak, pengembalian dana, atau masalah akun yang harus segera diselesaikan dapat menjadi umpan phishing.
• Jangan sembarangan membuka tautan dan kode QR. Periksa tujuan tautan terlebih dahulu, terutama jika mengarah ke situs yang tidak dikenal atau meminta pengunduhan file.
• Hindari mengunduh file yang tidak diminta. Jangan memasang file MSI atau aplikasi akses jarak jauh hanya karena diarahkan melalui undangan kalender.
• Periksa pengaturan kalender. Jika aplikasi menyediakan opsi untuk mengendalikan pemrosesan undangan otomatis, sesuaikan dengan kebutuhan dan tingkat keamanan yang diinginkan.
• Perbarui perangkat dan perangkat lunak keamanan. Pembaruan membantu menutup celah keamanan dan meningkatkan kemampuan mendeteksi file atau aktivitas mencurigakan.

Bagi organisasi, perlindungan sebaiknya tidak hanya berfokus pada kotak masuk email. Sistem keamanan juga perlu memperhatikan undangan kalender, tautan eksternal, file lampiran, serta penggunaan perangkat lunak akses jarak jauh yang tidak semestinya.

Pada akhirnya, meningkatnya serangan ICS phishing menjadi pengingat bahwa ancaman siber dapat memanfaatkan fitur digital yang terlihat rutin dan tepercaya. Undangan rapat yang muncul di kalender belum tentu aman, sekalipun berasal dari platform populer.

Karena itu, periksa setiap undangan yang tidak dikenal sebelum membuka tautan atau mengunduh file. Kewaspadaan sederhana ini dapat membantu mencegah malware masuk dan mengurangi risiko perangkat diambil alih oleh penjahat siber.