Serangan siber MGM Resorts-dari cloud ke lantai kasino

Penyusupan dunia maya yang baru-baru ini menargetkan MGM Resorts International telah menggarisbawahi masalah-masalah mendesak seputar perlindungan data sensitif dan kerentanan yang dihadapi organisasi modern dalam lanskap ancaman saat ini.

MGM Resorts, operator beberapa hotel dan kasino terkenal di sepanjang Las Vegas Strip yang ikonik, termasuk Bellagio, Aria, dan Cosmopolitan, melakukan pemadaman jaringan secara ekstensif sebagai tanggapan atas serangan siber yang semakin intensif. Hal ini menyebabkan gangguan yang signifikan di seluruh properti hotel dan kasino, dengan para tamu yang mengalami masalah mulai dari ATM dan mesin slot yang tidak tersedia hingga kartu kunci digital kamar yang tidak berfungsi dan sistem pembayaran elektronik.

Pelakunya? Penjahat siber yang memiliki keahlian dalam rekayasa sosial. Mereka telah mendapatkan pengakuan di kalangan keamanan siber karena ciri khasnya yang unik-kemampuan mereka yang fasih berbahasa Inggris, yang membedakan mereka dari sebagian besar kelompok kejahatan siber yang kemampuan bahasa Inggrisnya kurang.

Menariknya, berkat taktik, teknik, dan prosedur (TTP) mereka yang sebanding, para peneliti di Mandiant telah mendeteksi adanya korelasi antara Scattered Spider dan kelompok peretasan Lapsus$, yang memiliki komposisi dan pendekatan tim yang serupa (lihat Gambar 1).¹

Keahlian mereka? Manuver rekayasa sosial yang dilakukan dengan cerdik membuka jalan bagi mereka untuk mendapatkan akses awal, dengan memanfaatkan profil LinkedIn pengguna senior MGM untuk memfasilitasi pengaturan ulang permintaan otentikasi multifaktor (MFA) melalui meja bantuan internal.

Menurut banyak laporan keamanan tentang masalah ini, para pelaku membangun kegigihan dalam jaringan MGM dengan menyiapkan Penyedia Identitas (IdP) tambahan di penyewa Okta mereka menggunakan fitur yang dikenal sebagai "federasi masuk." Meskipun ini biasanya digunakan untuk koneksi dan integrasi cepat selama merger dan akuisisi organisasi, dalam kasus ini, pelaku ancaman mengeksploitasinya untuk meningkatkan cengkeraman mereka terhadap jaringan korban.

Sejak saat itu, para penyerang mengambil alih Okta milik MGM dan lingkungan cloud Microsoft Azure, mengambil alih tidak hanya aplikasi yang dikelola oleh platform identity and access management (IAM) tetapi juga aset cloud mereka. Bahkan setelah personel keamanan siber MGM mematikan sinkronisasi server Okta, para peretas tetap berada di dalam jaringan, seperti yang dikonfirmasi dalam pernyataan mereka (lihat Gambar 2).² Mereka menegaskan telah mempertahankan hak istimewa administrator super pada lingkungan Okta MGM dan izin Administrator Global untuk penyewa Microsoft Azure MGM.

Pada akhirnya, mereka mengenkripsi ratusan server ESXi, yang menampung ribuan VM yang mendukung banyak sistem perhotelan, memicu kekacauan yang meluas. Karena host ESXi dienkripsi secara berurutan, aplikasi-aplikasi menjadi rusak secara beruntun. Hal ini menyebabkan mesin slot tidak dapat dioperasikan, kunci kamar hotel tidak berfungsi, reservasi makan malam terganggu, sistem tempat penjualan tidak beroperasi, dan para tamu tidak dapat melakukan check-in atau check-out.

Mengapa insiden-insiden ini terjadi?

Serangan Ransomware secara tradisional menggunakan beragam metode, seperti phishing, pencurian kredensial, eksploitasi kerentanan, dan banyak lagi.

Rekayasa sosial, atau lebih khusus lagi dalam kasus ini, vishing (phishing suara) telah menjadi lebih efektif dalam beberapa tahun terakhir karena beberapa alasan:

• Teknik Penipuan Tingkat Lanjut: Para penyerang telah mahir dalam memalsukan nomor telepon agar tampak seolah-olah panggilan mereka berasal dari sumber yang sah. Hal ini dapat menipu orang untuk menjawab panggilan yang seharusnya mereka abaikan.
• Rekayasa Sosial: Serangan Vishing sering kali melibatkan taktik rekayasa sosial yang meyakinkan. Penyerang mengumpulkan informasi pribadi dari berbagai sumber-dalam hal ini, profil LinkedIn anggota staf senior MGM-untuk membuat panggilan mereka lebih meyakinkan.
• Kemudahan Eksekusi: Serangan Vishing dapat dieksekusi dengan keterampilan teknis dan sumber daya yang relatif rendah. Aksesibilitas ini berarti bahwa lebih banyak pelaku ancaman yang dapat terlibat dalam serangan tersebut.
• Pekerjaan Jarak Jauh: Meningkatnya pekerjaan jarak jauh telah menyebabkan lebih banyak ketergantungan pada panggilan telepon dan video untuk komunikasi. Para penyerang telah memanfaatkan kesempatan ini untuk mengeksploitasi lanskap komunikasi yang berubah.

Menargetkan platform IAM adalah taktik terkenal yang digunakan oleh para pelaku ancaman, memberi mereka akses terus-menerus ke organisasi dan memperluas hak istimewa mereka di seluruh sistem, yang mengakibatkan peningkatan bahaya. Strategi ini jauh dari kata baru, tetapi strategi ini memberikan nilai yang luar biasa bagi penyerang yang mencari pijakan akses yang kuat.

Setelah pelaku ancaman ditemukan dan diketahui, server sinkronisasi Okta milik MGM dihentikan, dan fase ransomware dari serangan tersebut sedang berlangsung, berkat kelompok ransomware BlackCat/ALPHV. Ransomware-as-a-Service (RaaS) merupakan industri yang berkembang pesat dalam rantai pasokan kriminal. Sama halnya dengan bisnis yang sah yang bergantung pada aplikasi SaaS, kelompok kriminal seperti BlackCat/ALPHV menawarkan layanan profesional yang melengkapi kemampuan penyerang asli, termasuk pengembangan malware, layanan komando dan kontrol, situs kebocoran Tor, dukungan malware, dan bahkan layanan negosiasi korban.

Melihat Caesars Entertainment, jaringan kasino terbesar di AS, membayar tebusan sekitar $ 15 juta setelah terjadi pembobolan yang parah, kelompok penjahat siber akan menemukan motivasi yang cukup untuk mengeksplorasi peluang yang ada di hadapan mereka.

Apa yang bisa dilakukan?

Elemen pelatihan keamanan dan kewaspadaan yang jelas tidak boleh diabaikan, karena operasionalisasi licik penyerang terhadap data korban media sosial (LinkedIn) membantu mereka menipu operator Helpdesk TI MGM untuk mendapatkan vektor akses awal yang sangat penting itu.

Meminimalkan eksposur dan permukaan serangan adalah hal yang paling penting ketika menghadapi ancaman seperti ini, yang menggabungkan rekayasa sosial dan vishing, pengambilan kredensial, pembajakan akun cloud, dan pada akhirnya ransomware. Berikut ini beberapa kiat yang dapat membantu menangkis ancaman-ancaman canggih seperti ini:

1. Mengurangi Radius Ledakan: Pisahkan aset sistem internal, baik di lokasi maupun di cloud. Bahkan dalam kasus-kasus di mana pelaku ancaman menyamar dan berhasil mengelabui jalan mereka ke dalam lingkungan perusahaan, jika Anda telah mengisolasi dan mengelompokkan sumber daya Anda dengan menggunakan prinsip-prinsip Zero Trust, Anda secara drastis membatasi pergerakan mereka dan meminimalkan permukaan serangan.
2. Menghentikan Pengguna yang Disusupi dan Ancaman Orang Dalam: Memanfaatkan aplikasi inline dan pemeriksaan data, selain analisis perilaku yang ekstensif untuk mengidentifikasi dan menghentikan penyerang potensial - baik ancaman eksternal maupun orang dalam yang berniat jahat.
3. Meminimalkan Permukaan Serangan Eksternal: Menghubungkan langsung pengguna dan permintaan akses ke aplikasi dan layanan untuk membatasi pergerakan lateral. Dalam kasus serangan MGM, pergerakan lateral antara Okta, Microsoft Azure, dan akhirnya server ESXi di lokasi memungkinkan terjadinya peretasan.
4. Mencegah Kehilangan Data: Menerapkan data loss prevention secara inline di semua vektor ancaman potensial dan saluran kebocoran. Jika penyusup mendapatkan akses yang tidak sah, jika tindakan mereka terhadap data Anda dicegah, Anda bisa secara dramatis mengurangi dampak pelanggaran.
5. Lakukan Audit dan Penilaian yang Sering: Audit keamanan siber secara teratur menilai kepatuhan dan mengungkapkan kesenjangan pengetahuan, serta menyoroti kelemahan dan kerentanan yang menjadi vektor akses awal yang sangat penting bagi penjahat siber.
6. Terus Mendidik Karyawan: Vishing semakin meningkat sebagai senjata yang kuat di gudang penyerang. Banyak orang yang tidak menyadari vishing sebagai vektor ancaman, atau kerentanan mereka terhadap serangan vishing, membuat mereka lengah saat menanggapi panggilan telepon. Kurangnya kesadaran ini dapat membuat mereka rentan terhadap manipulasi.

Referensi:

• https://www.mandiant.com/resources/blog/unc3944-sms-phishing-sim-swapping-ransomware
• https://www.bleepingcomputer.com/news/security/mgm-casinos-esxi-servers-allegedly-encrypted-in-ransomware-attack/
• https://techcrunch.com/2023/09/14/mgm-cyberattack-outage-scattered-spider/
• https://www.bleepingcomputer.com/news/security/caesars-entertainment-confirms-ransom-payment-customer-data-theft/