Kelemahan SharePoint telah digunakan dalam peretasan setidaknya sejak 7 Juli, kata Adam Meyers, Senior VP di CrowdStrike Holdings Inc. Eksploitasi awal menyerupai aktivitas yang disponsori pemerintah, dan kemudian menyebar lebih luas hingga mencakup peretasan yang “terlihat seperti di China,” kata Meyers. Investigasi CrowdStrike terhadap kampanye tersebut sedang berlangsung, katanya.
Microsoft mengatakan dalam blognya bahwa penyelidikannya terhadap pelaku ancaman lain yang menggunakan eksploitasi ini “masih berlangsung.” Perusahaan mengatakan bahwa mereka memiliki “keyakinan tinggi” bahwa para peretas akan “terus mengintegrasikannya ke dalam serangan mereka.”
Dalam sebuah pernyataan, Kedutaan Besar China di Washington mengatakan bahwa Tiongkok dengan tegas menentang segala bentuk serangan siber dan kejahatan siber.
“Pada saat yang sama, kami juga dengan tegas menentang tindakan mencemarkan nama baik pihak lain tanpa bukti yang kuat,” kata pernyataan itu. “Kami berharap pihak-pihak terkait akan mengadopsi sikap profesional dan bertanggung jawab ketika mengkarakterisasi insiden siber, mendasarkan kesimpulan mereka pada bukti yang cukup daripada spekulasi dan tuduhan yang tidak berdasar.”
Tidak ada informasi sensitif atau rahasia yang diketahui telah disusupi dalam serangan terhadap Administrasi Keamanan Nuklir Nasional, kata orang yang mengetahui tentang pelanggaran tersebut. Badan semi otonom di Departemen Energi ini bertanggung jawab untuk memproduksi dan membongkar senjata nuklir. Bagian lain dari departemen ini juga disusupi.
Seorang juru bicara Departemen Energi mengatakan melalui email bahwa eksploitasi SharePoint mulai mempengaruhi lembaga ini pada 18 Juli, tetapi dibatasi oleh fakta bahwa departemen tersebut menggunakan cloud Microsoft.
Pada bagian lain perwakilan dari Departemen Pendidikan AS dan badan legislatif Rhode Island tidak menanggapi panggilan dan email yang meminta komentar. Departemen Pendapatan Florida mengatakan bahwa kelemahan SharePoint sedang diselidiki “di berbagai tingkat pemerintahan” tetapi menolak berkomentar lebih lanjut.
Para peretas juga telah membobol sistem penyedia layanan kesehatan yang berbasis di AS dan menargetkan sebuah universitas negeri di Asia Tenggara, menurut sebuah laporan dari perusahaan keamanan siber yang ditinjau oleh Bloomberg News. Laporan tersebut tidak menyebutkan nama kedua entitas tersebut, namun mengatakan bahwa para peretas telah mencoba membobol server SharePoint di berbagai negara termasuk Brasil, Kanada, Indonesia, Spanyol, Afrika Selatan, Swiss, Inggris, dan AS. Perusahaan tersebut meminta untuk tidak disebutkan namanya karena sensitivitas informasi tersebut.
Para peretas telah mencuri data kredensial untuk masuk, termasuk username, password, kode hash, dan token, dari beberapa sistem, menurut seseorang yang mengetahui masalah ini, yang tidak ingin disebutkan namanya karena membahas informasi sensitif. “Ini merupakan ancaman dengan tingkat keparahan tinggi dan urgensi tinggi,” ujar Michael Sikorski, chief technology officer (CTO) dan kepala intelijen ancaman untuk Unit 42 di Palo Alto Networks Inc.
“Yang membuat hal ini sangat memprihatinkan adalah integrasi mendalam SharePoint dengan platform Microsoft, termasuk layanan mereka seperti Office, Teams, OneDrive dan Outlook, yang memiliki semua informasi yang berharga bagi penyerang,” terang dia.
Perusahaan cyber Eye Security mengatakan bahwa kelemahan tersebut memungkinkan peretas untuk mengakses server SharePoint dan mencuri kunci yang memungkinkan mereka menyamar sebagai pengguna atau layanan bahkan setelah server ditambal. Dikatakan bahwa para peretas dapat mempertahankan akses melalui jalur belakang atau komponen yang dimodifikasi yang dapat bertahan dari pembaruan dan reboot sistem.
Pelanggaran ini telah menarik perhatian baru pada upaya Microsoft untuk menopang keamanannya setelah serangkaian kegagalan besar. Microsoft telah mempekerjakan para eksekutif dari berbagai tempat seperti pemerintah AS dan mengadakan pertemuan mingguan dengan para eksekutif senior untuk membuat software-nya lebih tangguh. Teknologi perusahaan ini telah mengalami beberapa peretasan yang meluas dan merusak dalam beberapa tahun terakhir, dan laporan pemerintah AS tahun 2024 menggambarkan budaya keamanan perusahaan ini membutuhkan reformasi yang mendesak.
Eye Security telah mendeteksi adanya penyusupan di lebih dari 100 server yang mewakili 60 korban, termasuk organisasi di sektor energi, perusahaan konsultan, dan universitas. Para korban juga berada di Arab Saudi, Vietnam, Oman, dan Uni Emirat Arab, menurut perusahaan tersebut.
(bbn)
