Bahaya Penyalahgunaan ScreenConnect Sebagai Alat Penyebar Malware

Bahaya Penyalahgunaan ScreenConnect Sebagai Alat Penyebar Malware – Para peretas kini mengubah instalasi remote-support (remote-access) menjadi alat berbahaya yang mampu menyebarkan kode jahat (malicious code) antarkomputer berbasis Windows.

Aktivitas ini menjadi perhatian khusus para peneliti keamanan karena klien remote-access yang terinfeksi dapat mengirimkan muatan (staged payloads) ke sistem lain yang terhubung.

Hal ini memperluas jangkauan infeksi secara otomatis tanpa perlu mengirimkan umpan (lure) baru ke setiap korban.

Awal Mula Serangan

Kampanye peretasan ini diawali dengan teknik rekayasa sosial (social engineering), termasuk interaksi dukungan teknis palsu, phishing, hingga pencarian pengembalian dana (refund) fiktif.

Korban yang terkecoh akan memberikan akses jarak jauh atau menjalankan installer tertentu, sehingga peretas dapat menanamkan klien remote-access ilegal di perangkat mereka.

Metode ini tidak mengeksploitasi celah keamanan (software flaw), melainkan memanfaatkan rasa percaya dan alur kerja dukungan teknis biasa.

Peneliti keamanan dari Huntress mengidentifikasi pola ini di berbagai organisasi pada akhir Agustus. Pola berulang ini menunjukkan adanya operasi terkoordinasi yang membuktikan bagaimana alat administrasi tepercaya dapat berubah menjadi saluran penyebaran malware saat kliennya dikuasai peretas.

Dampak dan Karakteristik Infeksi Seperti Cacing

Bahaya serangan ini tidak berhenti pada komputer pertama yang terinfeksi. Malware akan menganalisis profil host, menghindari sistem yang memiliki alat keamanan tertentu, membangun akses permanen (persistence) agar tetap aktif setelah komputer di-reboot, serta mengirimkan alat kejahatan tambahan.

Operasi ini dapat meningkatkan hak akses (elevate privileges), melemahkan perlindungan Windows, membuat terowongan lalu lintas jaringan (traffic tunneling), hingga menjalankan penambang kripto (cryptocurrency miner).

Karena sesi remote terlihat seperti aktivitas resmi, serangan ini dapat membaur dengan rutinitas administrasi IT sehari-hari sampai ditemukan adanya eksekusi skrip yang mencurigakan.

Bagaimana ScreenConnect Dipersenjatai?

Klien ScreenConnect yang telah diubah oleh peretas akan meluncurkan Windows Script Host secara berulang untuk menjalankan rantai skrip empat tahap (VBScript 1.vbs hingga 4.vbs).

Tahap awal berfungsi memeriksa sistem dan menyiapkan konten terenkripsi, sedangkan tahap selanjutnya memilih muatan (payload) berdasarkan hasil pemeriksaan tersebut.

Hal paling tidak biasa dari serangan ini adalah pemanfaatan fitur File Transfer milik ScreenConnect. Saat sesi host baru terhubung, klien yang telah dimodifikasi akan mengemas skrip lalu mengirim dan menjalankannya secara otomatis di komputer yang terhubung.

Pemanfaatan fitur ini mengubah koneksi jarak jauh biasa menjadi jalur infeksi yang mirip dengan cara kerja cacing komputer (worm).

Kode peretas mencatat connection identifier untuk menghindari pengiriman muatan berulang kali selama sesi aktif. Namun, catatan tersebut akan dihapus saat koneksi terputus. Artinya, jika sistem yang sama terhubung kembali di lain waktu, proses pengiriman malware dapat terpicu ulang.

Baca juga: Memahami Karakteristik Email Phising

Langkah Pencegahan dan Mitigasi

Untuk Pengguna Biasa:

Jangan pernah membagikan kode kendali jarak jauh (remote-control codes) atau menjalankan perangkat lunak dukungan teknis dari kontak yang tidak dikenal, iklan pop-up, atau hasil pencarian internet.

Untuk Administrator IT & Tim Keamanan:

Isolasi dan Instal Ulang: Lakukan re-image atau instalasi ulang sistem operasi secara bersih pada komputer yang terdampak.
Audit Klien ScreenConnect: Tinjau ulang seluruh implementasi ScreenConnect on-premises. Jangan menganggap klien remote-support aman hanya karena menggunakan nama aplikasi yang familier.
Pantau Log Server: Perhatikan entri audit-log server yang menunjukkan tindakan eksekusi file jarak jauh dari proses guest.
Waspadai Nama File Aneh: Peretas dapat mengubah nama file. Selidiki setiap aktivitas Windows Script Host atau PowerShell yang tidak biasa yang terikat pada sesi ScreenConnect.
Batasi Hak Akses: Batasi hak pendaftaran/instalasi perangkat lunak manajemen jarak jauh dan tetapkan saluran dukungan IT resmi di internal organisasi.