Sekelompok pelaku ancaman siber yang menyamar sebagai staf dukungan teknologi informasi (IT support) di platform Microsoft Teams berhasil memanipulasi sejumlah karyawan agar memberikan kendali jarak jauh atas komputer kerja mereka. Setelah memperoleh akses perangkat, para peretas memanfaatkan konfigurasi Active Directory Certificate Services (AD CS) yang tidak aman demi menerbitkan sertifikat autentikasi bagi akun-akun istimewa, termasuk sertifikat milik domain controller.
Pihak Microsoft mengungkapkan dalam laporan resmi bahwa mereka telah menyelidiki dua insiden penyusupan serupa, dengan salah satu kasus berujung pada penyalinan dan pemindahan data internal perusahaan ke server luar milik pihak ketiga. Dalam peristiwa tersebut, peretas tidak memanfaatkan kerentanan perangkat lunak pada aplikasi Teams, melainkan sepenuhnya mengandalkan manipulasi psikologis (social engineering) serta konfigurasi AD CS yang rentan. Microsoft belum mengaitkan rentetan aktivitas ini dengan kelompok kejahatan siber tertentu.
Kronologi dan Awal Mula Serangan Siber
Berdasarkan keterangan Microsoft, kedua kasus peretasan berakar dari taktik mula yang serupa. Kelompok penyerang mengontak pekerja lewat pesan teks dan panggilan suara di aplikasi Teams sembari berpura-pura menjadi bagian dari staf IT internal maupun unit help desk perusahaan. Mereka beroperasi menggunakan penyewa eksternal (external tenant) beridentitas khusus dengan penamaan bertema layanan teknis agar terlihat familier dan meyakinkan di mata korban.
Melalui percakapan tersebut, pelaku membujuk setiap pegawai sasaran untuk membuka Quick Assist, yaitu utilitas bantuan kendali jarak jauh bawaan sistem operasi Windows, lalu meminta korban membacakan kode otorisasi koneksi yang muncul di layar. Tindakan ini memberikan penyerang kendali penuh secara jarak jauh atas stasiun kerja (workstation) milik karyawan yang bersangkutan.
Setelah menguasai desktop korban, peretas menaruh berkas arsip ke folder Downloads, mengekstrak isinya ke direktori baru yang dinamai mirip komponen pembaruan resmi sistem Windows, kemudian mengeksekusi muatannya menggunakan lingkungan runtime portabel berbasis Python, Bun, atau Java. Pemeriksaan nama berkas semata terbukti menjadi indikator deteksi yang lemah, mengingat salah satu salinan berkas telah diganti namanya meskipun tetap mempertahankan keterangan versi asli dari runtime tersebut.
Keuntungan Sertifikat Digital bagi Penyerang
Active Directory Certificate Services (AD CS) berfungsi menerbitkan sertifikat digital yang disodorkan pengguna maupun komputer saat melakukan autentikasi login. Sertifikat resmi yang dihasilkan dari templat berkonfigurasi keliru memungkinkan siapa saja yang memegangnya untuk masuk ke dalam sistem sebagai akun yang tertera di dalam dokumen sertifikat tersebut secara sah.
Microsoft menegaskan bahwa sertifikat autentikasi semacam ini akan terus berfungsi aktif kendati kata sandi akun terkait telah diperbarui atau stasiun kerja awal yang dipakai peretas telah dibersihkan sepenuhnya. Dengan demikian, kedua tindakan pemulihan tersebut sama sekali tidak memutus jalan akses milik penyerang.
Kasus Pertama: Sertifikat Istimewa dan Celah Isolasi
Pada insiden intrusi pertama, kelompok peretas menemukan templat sertifikat yang memiliki kelemahan arsitektur ESC1. Pada jenis templat ini, pihak pemohon dapat menentukan sendiri identitas nama akun yang akan diwakili sertifikat, sehingga pengguna berizin rendah mampu meminta sertifikat yang bertindak atas nama akun istimewa.
Gelombang panggilan manipulasi perdana menargetkan tiga karyawan dan satu stasiun kerja, membuahkan penerbitan sertifikat digital untuk tiga akun berprivelegese tinggi. Sistem keamanan Microsoft Defender yang menjalankan fitur otomatisasi pemutusan serangan (automatic attack disruption) segera memblokir identitas-identitas bermasalah serta menghentikan sesi aktif yang tengah berjalan. Kendati demikian, terdapat satu akun istimewa yang secara tidak sengaja terlewat dari cakupan respons isolasi otomatis, sehingga akun tersebut tetap beroperasi normal.
Sekitar 90 menit berselang, gelombang serangan kedua menerpa 16 pekerja dan stasiun kerja kedua, menghasilkan penerbitan sertifikat untuk 8 akun istimewa tambahan. Pihak Microsoft mencatat lebih dari 1.000 upaya lanjutan yang dilakukan penyerang untuk mengakses data dokumen melalui protokol SMB maupun login sistem berikutnya berhasil ditangkis tuntas.
Dalam hitungan detik setelah mengantongi sertifikat digital, peretas berhasil login ke sebuah domain controller lalu mengoperasikan modul DCSync guna menyalin data kredensial kata sandi dari basis data Active Directory. Operasi penggandaan tersebut telah dimulai saat tindakan isolasi sistem diterapkan, sehingga membatasi volume data yang direplikasi. Microsoft tidak merinci besaran pasti data kredensial akun yang diperoleh penyerang.
Akun yang dikecualikan dari skema penanganan otomatis menjadi celah masuk yang fatal. Penyerang mengeksploitasi akun tersebut untuk menembus server berkas perusahaan, lalu menjalankan salinan utilitas transfer berkas Rclone yang diubah namanya guna mengalihkan data folder jaringan bersama ke server SFTP luar. Pihak Microsoft tidak mengumumkan volume data yang dipindahkan.
Kejadian ini membuktikan pernyataan langsung Microsoft bahwa “isolasi identitas secara parsial mampu meredam aktivitas penyerangan, namun tetap berpotensi meninggalkan rute istimewa yang dapat dimanfaatkan penyerang untuk melanjutkan aksinya.”
Kasus Kedua: Sertifikat Khusus Domain Controller
Insiden intrusi kedua berawal dengan skenario manipulasi yang identik, tetapi beralih ke alur teknis berlainan akibat ketiadaan celah templat sertifikat pada target. Alih-alih mengeksploitasi templat, penyerang menerapkan teknik PetitPotam guna memaksa domain controller melakukan autentikasi ke komputer lain di bawah kendali peretas.
Permintaan login berbasis NTLM tersebut diteruskan (relayed) langsung ke laman pendaftaran web AD CS, pola penyalahgunaan yang dikategorikan sebagai ESC8, tanpa memerlukan kata sandi. Penyerang memanfaatkan sesi login terusan untuk meminta sertifikat resmi atas nama domain controller. Bermodalkan sertifikat digital tersebut dipadukan protokol Kerberos (PKINIT), pelaku mengamankan ticket-granting ticket (TGT) untuk domain controller, mengubah login relai sekali pakai menjadi kepemilikan identitas administratif permanen.
Pada kasus ini, langkah penanganan keamanan bekerja efektif. Microsoft Defender memicu peringatan terkait aktivitas ESC8, pihak korban langsung mengisolasi perangkat stasiun kerja terkait dari jaringan, dan Microsoft menyatakan tidak ada aktivitas serangan lanjutan yang terdeteksi sesudahnya.
Perbedaan mendasar kedua insiden bermuara pada efektivitas isolasi sistem. Pada kasus pertama, otomatisasi penghentian serangan menangkal sebagian besar manuver, namun satu akun yang terlewat tetap terbuka. Pada skenario kedua, pemutusan koneksi pada satu stasiun kerja sukses menghentikan peretasan secara tuntas.
Langkah Pertahanan dan Fakta Terkait
Tidak ada pembaruan tambalan perangkat lunak (patch) yang disediakan karena rangkaian peristiwa ini bukan akibat bug kode aplikasi. Seluruh panduan pencegahan Microsoft berpusat pada penataan ulang konfigurasi sistem serta ketepatan skema respons insiden.
Microsoft belum mengaitkan penyusupan ini kepada grup ancaman tertentu dan memilih tidak mengumumkan tanggal riil berlangsungnya kedua peristiwa. Metode pelaku pada hakikatnya bukan taktik baru. Periset keamanan telah menjabarkan kerentanan ESC1 dan ESC8 sejak tahun 2021, sementara teknik PetitPotam juga dipublikasikan pada tahun yang sama. Microsoft mandiri telah mendokumentasikan metode masuk help desk palsu di Teams menuju akses jarak jauh pada awal tahun 2026.
Nilai tambah dari laporan investigasi terbaru ini adalah pengungkapan bagaimana kedua metodologi dipadukan secara nyata di lapangan, berikut pelajaran mengenai bahaya celah akun yang dikecualikan dari isolasi sistem. Platform Windows generasi terbaru memiliki ketahanan lebih baik terhadap serangan ESC8; Microsoft telah mengaktifkan Extended Protection for Authentication (EPA) secara default pada AD CS di Windows Server 2025, sementara pengguna Windows Server 2022 dan 2019 masih diharuskan menyalakan perlindungan tersebut secara manual.
Dokumen laporan Microsoft merangkum daftar peringatan Defender yang mencakup sinyal mencurigakan pada Teams, endpoint perangkat, hingga identitas akun, disertai empat kueri advanced hunting sebagai titik awal investigasi lapangan serta tiga nilai hash berkas yang terafiliasi dengan skrip akses awal penyerang.
