ConsentFix, Modus Hacker Bobol Akun Microsoft Tanpa Password

ConsentFix merupakan teknik phishing yang memanfaatkan proses autentikasi Microsoft yang sah untuk mencuri akses akun pengguna. Berbeda dari phishing konvensional, serangan ini tidak memerlukan halaman login palsu atau pencurian kata sandi. Penyerang justru memanfaatkan kebiasaan pengguna menyelesaikan tahapan login tanpa memeriksa kembali proses yang sedang berlangsung.

Dengan memanfaatkan kode otorisasi OAuth, penyerang dapat memperoleh token akses dan token penyegaran yang memungkinkan mereka masuk ke akun korban. Bahkan, serangan ini dapat berhasil meskipun korban telah menggunakan autentikasi multifaktor (MFA).

Apa Itu ConsentFix?

ConsentFix adalah teknik phishing yang menggunakan rekayasa sosial bergaya ClickFix untuk mencuri kode otorisasi OAuth Microsoft dari proses autentikasi yang sah.

OAuth merupakan protokol yang memungkinkan suatu aplikasi memperoleh akses ke sumber daya pengguna tanpa harus menerima kata sandi mereka secara langsung. Dalam proses autentikasi Microsoft, OAuth digunakan untuk memberikan akses kepada aplikasi atau layanan yang telah mendapatkan persetujuan pengguna.

Pada serangan ConsentFix, penyerang tidak berusaha mencuri kata sandi secara langsung. Sebaliknya, mereka mengelabui korban agar menyelesaikan tahapan autentikasi yang terlihat seperti proses login biasa.

Ketika korban mengikuti instruksi yang diberikan, kode otorisasi OAuth dapat muncul di URL pengalihan yang terkait dengan sesi autentikasi mereka. Penyerang kemudian menangkap kode tersebut dan menukarnya dengan token akses serta token penyegaran.

Token akses digunakan untuk mengakses layanan atau sumber daya tertentu, sedangkan token penyegaran memungkinkan penerbitan token akses baru sesuai ketentuan autentikasi yang berlaku. Dengan memanfaatkan token tersebut, penyerang dapat memperoleh akses ke akun korban meskipun proses autentikasi Microsoft yang digunakan korban merupakan proses yang asli.

Serangan ini menunjukkan bahwa keberhasilan autentikasi tidak selalu menjamin keamanan akun. Pengguna dapat menyelesaikan proses login secara sah, tetapi akses yang dihasilkan dari proses tersebut tetap dapat dicuri.

Asal-usul Nama ConsentFix
Nama ConsentFix berasal dari teknik serangan ClickFix, yaitu metode rekayasa sosial yang memanfaatkan instruksi palsu untuk membuat pengguna menjalankan tindakan berbahaya di perangkat mereka sendiri.

Serangan ClickFix biasanya dimulai ketika pengguna menemukan pesan kesalahan palsu atau permintaan verifikasi di sebuah halaman web. Korban kemudian diminta menyelesaikan CAPTCHA palsu atau mengeklik tombol bertuliskan "Perbaiki".

Tanpa disadari, tindakan tersebut menyalin perintah berbahaya ke papan klip atau clipboard pengguna. Korban selanjutnya diminta menekan kombinasi tombol tertentu pada keyboard. Ketika instruksi tersebut diikuti, perintah yang telah disiapkan penyerang ditempelkan dan dijalankan di komputer korban.

ClickFix tidak bergantung pada kerentanan perangkat lunak tertentu. Serangan ini mengandalkan kesediaan pengguna mengikuti instruksi yang terlihat seperti prosedur biasa.

ConsentFix menggunakan pendekatan serupa, tetapi menyasar bagian persetujuan dalam alur OAuth Microsoft 365.

Bagian persetujuan ini biasanya muncul setelah pengguna masuk ke akun Microsoft dan diminta memberikan izin kepada aplikasi untuk mengakses akun mereka. Karena layar tersebut merupakan bagian dari proses login yang sering dilakukan, banyak pengguna cenderung mengeklik tombol persetujuan tanpa memeriksa kembali permintaan yang ditampilkan.

Kebiasaan inilah yang dimanfaatkan ConsentFix untuk mencuri akses akun.

Bagaimana Serangan ConsentFix Berlangsung?

Serangan ConsentFix umumnya dimulai dengan umpan phishing yang dirancang agar terlihat meyakinkan. Penyerang dapat menggunakan layanan berbagi file seperti Dropbox atau alat berbagi tautan untuk menyebarkan halaman berbahaya.

Dalam beberapa kasus, tautan tersebut dilindungi kata sandi agar lebih sulit diperiksa oleh perangkat keamanan. Metode penyebaran lainnya mencakup manipulasi hasil pencarian SEO atau SEO poisoning, iklan berbahaya (malvertising), serta situs web yang telah disusupi.

Salah satu hal yang membuat serangan ini sulit dikenali adalah penggunaan proses autentikasi Microsoft yang asli. Berikut gambaran bagaimana serangan ConsentFix dapat berlangsung.

1. Korban diarahkan ke halaman phishing
   Serangan dimulai ketika korban membuka halaman yang meminta mereka mengeklik tombol "Verifikasi dengan Microsoft". Korban kemudian diminta masuk menggunakan akun kerja mereka. Karena tampilan halaman menyerupai proses autentikasi Microsoft, pengguna mungkin tidak menyadari bahwa mereka sedang diarahkan ke alur autentikasi yang berbeda dari biasanya.

2. Korban menyelesaikan autentikasi yang sah
   Ketika pengguna memasukkan informasi login, proses autentikasi sebenarnya ditujukan ke antarmuka baris perintah Azure (Azure CLI), bukan ke sesi login Microsoft 365 seperti yang mungkin diperkirakan korban. Azure kemudian mengirimkan kode otorisasi OAuth yang seharusnya digunakan untuk memberikan akses kepada Azure CLI.

   Namun, karena tidak ada aplikasi di perangkat korban yang dapat menerima kode tersebut, pengguna justru melihat pesan kesalahan "Situs ini tidak dapat dijangkau". Meskipun demikian, kode otorisasi telah muncul di URL pengalihan yang dikembalikan oleh Microsoft.

3. Kode otorisasi dicuri
   Setelah munculnya pesan kesalahan, halaman berbahaya meminta korban menyelesaikan proses dengan menyeret URL tersebut ke dalam browser. Bagi korban, tindakan ini mungkin terlihat seperti langkah tambahan untuk menyelesaikan login. Padahal, URL tersebut mengandung kode otorisasi yang dapat digunakan untuk memperoleh akses ke akun. Ketika korban mengikuti instruksi tersebut, penyerang dapat menangkap kode otorisasi yang muncul di URL.

4. Penyerang memperoleh akses akun
   Setelah berhasil memperoleh kode otorisasi, penyerang menukarnya dengan token akses dan token penyegaran di perangkat mereka sendiri. Proses tersebut menyelesaikan autentikasi OAuth dan memberikan token yang valid kepada penyerang.

   Dengan demikian, penyerang dapat memperoleh akses ke akun korban tanpa harus mencuri kata sandi atau melewati mekanisme MFA secara langsung.

Mengapa MFA Tidak Dapat Menghentikan Serangan ConsentFix?

Autentikasi multifaktor atau MFA merupakan mekanisme keamanan yang mengharuskan pengguna melewati lebih dari satu tahap verifikasi ketika masuk ke akun. MFA dapat membantu melindungi akun dari pencurian kata sandi karena penyerang tidak cukup hanya mengetahui kata sandi untuk menyelesaikan proses login.

Namun, ConsentFix bekerja dengan cara yang berbeda.

Serangan ini tidak meminta korban menyerahkan kata sandi kepada penyerang. Sebaliknya, korban menyelesaikan proses autentikasi Microsoft yang asli dan sah, termasuk tahapan MFA jika diperlukan. Penyerang baru mengambil alih akses setelah proses autentikasi selesai, yaitu dengan mencuri kode otorisasi yang dihasilkan dari proses tersebut.

Hal ini juga menjelaskan mengapa kunci keamanan dan metode login lain yang dirancang untuk tahan terhadap phishing tidak otomatis dapat menghentikan ConsentFix. Penyerang tidak menyerang proses login itu sendiri, melainkan token yang dihasilkan setelah login berhasil.

Token yang dicuri bahkan dapat tetap berlaku selama jangka waktu tertentu, bergantung pada konfigurasi Microsoft 365 dan jenis token yang diterbitkan. Artinya, mengubah kata sandi saja belum tentu langsung menghentikan penggunaan token yang telah dicuri. Token tersebut perlu kedaluwarsa atau dicabut secara eksplisit agar tidak dapat digunakan lagi.

Selain itu, ConsentFix tidak selalu melibatkan malware atau file mencurigakan yang dapat dengan mudah dideteksi oleh perangkat keamanan endpoint tradisional. Seluruh interaksi berlangsung melalui browser dan infrastruktur Microsoft yang asli. Akibatnya, aktivitas tersebut sekilas terlihat seperti proses login biasa.

Cara Mengurangi Risiko Serangan ConsentFix

Menghadapi ConsentFix membutuhkan kombinasi antara kesadaran pengguna dan pengamanan teknis. Pelatihan keamanan dapat membantu pengguna mengenali instruksi yang tidak biasa, seperti permintaan menyeret tautan ke dalam browser atau menekan kombinasi tombol tertentu untuk menyelesaikan login.

Pengguna perlu dibiasakan untuk berhenti sejenak dan mempertanyakan alasan suatu proses autentikasi meminta tindakan yang tidak lazim. Namun, kesadaran pengguna saja tidak cukup karena ConsentFix memang dirancang agar terlihat seperti aktivitas biasa. Organisasi juga perlu menerapkan sejumlah langkah teknis untuk mengurangi risiko serangan.

1. Batasi persetujuan aplikasi
   Administrator perlu membatasi persetujuan aplikasi di Microsoft Entra ID agar pengguna tidak dapat menyetujui izin aplikasi baru tanpa pemeriksaan terlebih dahulu. Dengan cara ini, permintaan akses aplikasi dapat ditinjau dan disetujui oleh administrator sebelum diberikan kepada pengguna.

2. Pantau aktivitas OAuth
   Organisasi perlu memantau aktivitas OAuth yang tidak biasa, termasuk pemberian izin baru, login dari lokasi yang tidak dikenal, atau penggunaan aplikasi resmi Microsoft dengan pola yang berbeda dari aktivitas normal. Aktivitas yang menyimpang dari kebiasaan pengguna dapat menjadi petunjuk awal adanya penyalahgunaan akun.

3. Awasi aktivitas PowerShell dan baris perintah
   Pemantauan juga perlu mencakup aktivitas PowerShell dan baris perintah yang mencurigakan, terutama jika aktivitas tersebut berasal dari proses yang biasa digunakan pengguna. Aktivitas semacam ini dapat menjadi indikasi bahwa token yang dicuri mulai digunakan oleh penyerang.

4. Tinjau dan cabut izin aplikasi secara berkala
   Organisasi perlu memeriksa persetujuan aplikasi secara rutin dan mencabut izin yang dinilai berisiko. Pemeriksaan tidak cukup dilakukan satu kali karena izin aplikasi yang sebelumnya dianggap aman dapat berubah menjadi sumber risiko.

   Selain itu, organisasi dapat menggunakan panduan konfigurasi keamanan dari Cybersecurity and Infrastructure Security Agency (CISA). Melalui proyek Secure Cloud Business Applications (SCuBA), CISA menyediakan panduan konfigurasi keamanan dasar untuk Microsoft 365 dan Google Workspace.

Kesimpulan

ConsentFix menunjukkan bahwa phishing tidak selalu membutuhkan halaman login palsu atau pencurian kata sandi. Serangan ini justru memanfaatkan proses autentikasi yang sah dan kebiasaan pengguna mengikuti instruksi tanpa memeriksa kembali langkah-langkah yang diminta.

Dengan mencuri kode otorisasi OAuth dan menukarnya dengan token akses serta token penyegaran, penyerang dapat memperoleh akses ke akun Microsoft tanpa harus melewati MFA secara langsung.

Risiko tersebut membuat organisasi perlu menerapkan pertahanan berlapis.

Pelatihan kesadaran keamanan membantu pengguna mengenali aktivitas yang mencurigakan. Sementara itu, pemantauan aktivitas OAuth, pembatasan persetujuan aplikasi, dan peninjauan izin secara berkala dapat membantu mengurangi risiko penyalahgunaan akun.

Selain itu, solusi Managed ITDR dapat membantu memantau jejak yang ditinggalkan oleh token yang dicuri. Dengan demikian, organisasi memiliki peluang lebih besar untuk mendeteksi dan menangani aktivitas mencurigakan sebelum berkembang menjadi pengambilalihan akun secara menyeluruh.

Pada akhirnya, perlindungan terhadap ConsentFix tidak hanya bergantung pada kemampuan pengguna mengenali phishing, tetapi juga pada kesiapan sistem keamanan dalam mendeteksi dan merespons ancaman yang berhasil melewati kewaspadaan manusia.