Undangan Meeting Palsu di Kalender Digital Jadi Modus Baru Sebar Malware, Serangan Melonjak Ribuan Persen

Serangan siber melalui undangan meeting palsu yang disisipkan ke kalender digital dan email tengah meningkat pesat. Laporan terbaru perusahaan keamanan siber Sublime mengungkap bahwa penjahat siber memanfaatkan fitur undangan kalender untuk menyebarkan malware ke perangkat korban.

Menurut laporan tersebut, jumlah serangan jenis ini melonjak sekitar 282 persen pada Juni dibandingkan Mei. Angka itu kemudian meroket hingga 1.216 persen pada Agustus, dan diperkirakan terus naik menjadi 2.852 persen pada September.

Sublime menyebut ada beberapa alasan di balik maraknya modus ini. Metode dinilai relatif mudah dijalankan, terlebih pelaku memanfaatkan pengaturan bawaan fitur undangan kalender di banyak aplikasi email. Teknik yang digunakan dikenal sebagai ICS phishing, yakni penyalahgunaan file ICS yang merupakan bagian dari standar iCalendar dan berisi detail undangan rapat atau janji temu.

Pada sejumlah aplikasi seperti Microsoft Outlook, Gmail, dan Apple Mail, file ICS yang dikirim lewat email bisa langsung masuk ke kalender penerima, bahkan sebelum orang tersebut memutuskan menerima atau menolak undangan. Akibatnya, undangan palsu berpotensi lolos dari pemeriksaan keamanan dan otomatis masuk ke inbox.

Sublime juga menyoroti serangan terbaru yang memakai undangan Google Calendar untuk menyebarkan tautan ke file berbahaya. File itu berisi perangkat lunak remote monitoring and management (RMM) yang memungkinkan pemantauan dan pengelolaan perangkat dari jarak jauh. Korban dijanjikan pengembalian atau pengkreditan dana atas tagihan yang diklaim belum diselesaikan, lalu diundang ke rapat untuk membahasnya.

Undangan tersebut dikirim dari akun Gmail sehingga berpeluang besar menghindari pemblokiran yang hanya mengandalkan pemeriksaan domain pengirim. Menurut Sublime, meski sistem keamanan berhasil memblokir emailnya, undangan itu masih berpotensi muncul di kalender target.

Ketika korban membuka tautan di email atau entri kalender, mereka diarahkan ke situs yang dihosting layanan hosting gratis Farmer. Di sana korban diminta menekan tombol View Here untuk mengunduh dokumen yang diklaim sebagai nota kredit atau bukti pengurangan tagihan. Padahal, tautan itu mengarah ke file berbahaya.

Jika tidak diblokir perangkat lunak keamanan, file instalasi berformat MSI akan terunduh ke perangkat korban. Selain mengandung malware, file MSI itu menyertakan konfigurasi yang memanfaatkan perangkat lunak akses jarak jauh sah bernama ScreenConnect untuk menjalankan fungsi server Command and Control (C2). Server ini memungkinkan penyerang mengendalikan sistem yang terinfeksi dan mengirimkan perintah ke perangkat tersebut.

Dikutip dari ZDNET, modus ini efektif karena undangan rapat dikirim ke inbox email sekaligus kalender sehingga pengguna terpapar ancaman di dua tempat. Sebagian besar aplikasi email memiliki sistem keamanan untuk melindungi inbox, tetapi belum tentu memberi perlindungan serupa pada fitur kalender. Pelaku juga memanfaatkan platform terpercaya seperti Gmail melalui Google Calendar atau infrastruktur Microsoft agar serangan lebih sulit dideteksi, sekaligus memakai layanan gratis sehingga hemat biaya.

"Hal yang membuat serangan ini berhasil adalah kepercayaan yang muncul secara tidak langsung, baik terhadap kedua sistem yang digunakan maupun terhadap undangan itu sendiri," kata VP Viakoo, John Gallagher, Jumat (18/9). Menurut Gallagher, pelaku mengandalkan asumsi bahwa korban masih memakai pengaturan bawaan dan menganggap undangan kalender tidak mencurigakan seperti email phishing. "Bahaya sebenarnya terletak pada isi undangan tersebut. Tautan atau kode QR di dalamnya dapat membahayakan sistem korban. Bahkan, menolak undangan pun bisa memberikan informasi kepada pelaku bahwa alamat email tersebut aktif," ujarnya.