Pesan “IT” di Teams bisa membuka jaringan—satu sesi cukup untuk bergerak lateral

Pada 2 September 2026, Microsoft Threat Intelligence mengungkap kampanye aktif yang memakai kontak eksternal Microsoft Teams untuk menyamar sebagai petugas IT atau helpdesk. Setelah pengguna menyetujui sesi kendali jarak jauh, operator memasang MSI berbahaya, menjalankan implan melalui Node.js, memetakan Active Directory, lalu memulai koneksi WinRM menuju sistem lain, termasuk domain controller dan certificate authority.

Temuan 2 September itu menunjukkan mengapa satu sesi dapat membuka jalan ke jaringan yang lebih luas: persetujuan pengguna memberi operator akses interaktif berbasis kredensial dari sebuah workstation internal. Tanda paling awal bagi pengguna ialah kontak dukungan yang tidak diminta dari tenant eksternal, disusul permintaan berbagi layar, menyetujui kendali, membuka Quick Assist, atau membacakan kode koneksi.

Dari pesan eksternal ke kendali perangkat

Kontak awal memanfaatkan fungsi kolaborasi dan dukungan jarak jauh yang sah, bukan kerentanan teknis di Teams. Pelaku memakai alasan seperti pembaruan keamanan, pembaruan penyaring spam, verifikasi akun, atau ancaman penonaktifan akun agar permintaan terlihat rutin sekaligus mendesak.

Korban dapat diminta menyetujui fitur “request control” ketika berbagi layar di Teams. Jalur lain mengarahkan korban membuka Quick Assist, memasukkan kode singkat, lalu mengikuti permintaan pemberian akses. Pelaku terkadang menambahkan panggilan suara untuk meningkatkan tekanan sekaligus menghindari pencatatan instruksi atau URL di percakapan Teams.

Nama tampilan seperti “Help Desk” dan pengetahuan tentang istilah internal bukan bukti identitas. Permintaan yang sah harus dapat dicocokkan melalui kanal yang sudah dikenal—misalnya sistem tiket atau nomor internal—tanpa bergantung pada informasi verifikasi yang diberikan oleh orang yang baru menghubungi pengguna.

MSI dan Node.js mengubah sesi menjadi pijakan

Setelah kendali diperoleh, PowerShell dipakai untuk mengambil MSI dari penyimpanan cloud yang dikendalikan pelaku dan memasangnya secara senyap dengan Windows Installer. Nama bertema pembaruan, seperti “devfix” atau “Hotfix”, membantu installer menyatu dengan cerita dukungan teknis palsu, sedangkan opsi instalasi senyap menyembunyikan antarmuka dari korban.

MSI menempatkan pemuat berbasis skrip dan implan terenkripsi di LocalAppData. Jika Node.js belum tersedia, rangkaian tersebut mengambil runtime portabel yang sah dari distribusi resminya; PowerShell, cmd.exe, atau WScript kemudian menjalankan bootstrap tersembunyi, sementara Node.js mendekripsi dan mengeksekusi implan JavaScript dari direktori yang dapat ditulis pengguna.

Liputan TechRadar pada 3 September merangkum akses remote, pemasangan loader, pengintaian host, pemeriksaan produk keamanan dan virtualisasi, serta pengambilan tangkapan layar. Namun, pencurian data dan ransomware adalah kemungkinan tujuan lanjutan yang sesuai dengan pola tersebut; laporan primer tidak menyatakan bahwa setiap intrusi berakhir dengan pencurian, pemerasan, atau enkripsi.

WinRM membawa akses menuju sistem identitas

Implan memberi operator saluran kendali untuk memeriksa perangkat dan lingkungan Active Directory. Perintah bawaan Windows serta kueri Active Directory Service Interfaces dipakai untuk menghitung akun, pengguna, server, dan objek domain, sehingga operator dapat menyusun peta sasaran bernilai tinggi.

Tugas melalui backdoor Node.js kemudian memulai koneksi Windows Remote Management pada TCP 5985 ke sistem yang tergabung dalam domain. Sasaran yang diamati mencakup file server, server basis data dan aplikasi, domain controller, serta certificate authority. Bukti ini mengonfirmasi pergerakan menuju infrastruktur penting, tetapi tidak dengan sendirinya membuktikan bahwa seluruh sasaran berhasil dikuasai.

Hubungan sebab-akibat dalam judul terletak pada urutan tersebut: satu sesi yang disetujui pada workstation memberi operator pijakan internal, lalu protokol administrasi yang tersedia digunakan untuk mencoba menjangkau host lain. Teams membuka kontak sosialnya; persetujuan kendali dan eksekusi berikutnya yang mengubah percakapan menjadi intrusi jaringan.

Titik pemutusan berada sebelum dan sesudah persetujuan

Sebelum sesi dimulai, organisasi dapat mewajibkan verifikasi helpdesk melalui kanal internal yang terpisah, menjaga penanda pengirim eksternal tetap terlihat, dan membatasi akses eksternal Teams ke domain tepercaya jika kebutuhan bisnis memungkinkan. Kebijakan juga perlu menentukan alat dukungan jarak jauh yang diizinkan, siapa yang boleh memulai sesi, dan kondisi pemberian elevasi.

Setelah sesi telanjur diberikan, satu nama berkas tidak cukup untuk mengenali rangkaian ini. Sinyal yang perlu dikorelasikan meliputi aplikasi bantuan jarak jauh yang segera diikuti cmd.exe atau PowerShell, MSI yang ditulis ke direktori pengguna lalu dipasang senyap, Node.js atau salinannya yang berjalan dari LocalAppData, persistensi bertema pembaruan, pengintaian Active Directory, dan koneksi WinRM dari workstation biasa.

Analisis SOC Prime tertanggal 4 September juga memetakan MSI, runtime Node.js, pengintaian Active Directory, dan WinRM, serta menyarankan agar akses WinRM dibatasi ke workstation administrasi dan sistem manajemen yang disetujui. Jika rangkaian terdeteksi, endpoint perlu diisolasi dan kredensial yang dapat diakses dari perangkat tersebut diperlakukan sebagai berisiko.

Microsoft belum mengungkap identitas pelaku, jumlah organisasi yang menjadi sasaran, atau hasil akhir setiap intrusi. Status yang terkonfirmasi adalah kampanye yang dioperasikan manusia dan rantai teknis yang telah diamati; karena itu, kontak helpdesk tidak otomatis berbahaya, tetapi permintaan kendali yang tidak diminta harus berhenti sampai identitas petugas dan tiketnya diverifikasi melalui jalur terpisah.

Baca juga:

• Satu memori palsu bisa menyesatkan agen AI lama setelah sesi berakhir
• Jangan mulai dari alat—pilih satu alur kerja AI yang bisa diperiksa
• CAPTCHA palsu membuka jalan ke jaringan kantor lewat PowerShell