Halaman

    Social Items

Visit WPN

 


Sebuah platform phishing-as-a-service (PhaaS) baru bernama VoidProxy terungkap menargetkan akun Microsoft 365 dan Google, termasuk akun yang terhubung melalui penyedia single sign-on (SSO) pihak ketiga seperti Okta.


Menurut laporan tim Okta Threat Intelligence, VoidProxy tergolong skalabel, sulit dideteksi, dan cukup canggih. Platform ini memanfaatkan teknik adversary-in-the-middle (AitM) untuk mencuri kredensial, kode autentikasi multi-faktor (MFA), hingga session cookie secara langsung saat proses login berlangsung.


Metode Serangan VoidProxy

  • Awal serangan biasanya berasal dari email phishing yang dikirim menggunakan akun sah yang sudah disusupi di layanan email seperti Constant Contact, Active Campaign, atau NotifyVisitors. Email ini menyertakan tautan singkat yang akan membawa korban melalui beberapa pengalihan hingga akhirnya ke situs phishing.
  • Hosting situs berbahaya dilakukan di domain sekali pakai berbiaya rendah seperti .icu, .sbs, .cfd, .xyz, .top, dan .home. Semua domain tersebut dilindungi Cloudflare untuk menyamarkan alamat IP asli.
  • Korban pertama kali akan dihadapkan pada tantangan CAPTCHA Cloudflare, yang berfungsi menyaring bot sekaligus meningkatkan kesan legitimasi. Cloudflare Worker kemudian digunakan untuk memfilter lalu lintas dan memuat halaman phishing.


Taktik Penipuan

  • Korban yang menjadi target utama diarahkan ke halaman login palsu Microsoft atau Google, sedangkan pengguna acak akan dialihkan ke halaman umum atau pesan sambutan biasa agar tidak menimbulkan kecurigaan.
  • Saat kredensial dimasukkan, informasi tersebut diproksikan melalui server VoidProxy AitM menuju server sah milik Google atau Microsoft.
  • Bagi akun dengan integrasi SSO Okta, korban dialihkan ke tahap kedua berupa halaman phishing yang meniru alur login Microsoft 365 atau Google via Okta. Permintaan login ini diproksikan ke server Okta, memungkinkan penyerang menangkap username, password, dan kode MFA.
  • Setelah layanan asli mengeluarkan session cookie, VoidProxy menyimpannya dan menghadirkannya langsung di panel admin platform agar penyerang bisa mengambil alih akun tanpa perlu login ulang.


Mitigasi

Okta menegaskan bahwa pengguna yang sudah mengaktifkan phishing-resistant authentication seperti Okta FastPass terlindungi dari serangan VoidProxy, serta akan menerima peringatan jika akun mereka sedang diserang.


Para peneliti merekomendasikan langkah berikut untuk meningkatkan perlindungan:

  • Membatasi akses aplikasi sensitif hanya melalui perangkat yang dikelola.
  • Menggunakan kontrol akses berbasis risiko.
  • Menerapkan pengikatan IP session khususnya pada aplikasi administratif.
  • Memaksa autentikasi ulang untuk admin yang mencoba melakukan tindakan berisiko tinggi.

VoidProxy: Platform Phishing Baru Intai Akun Microsoft 365 dan Google

 


Sebuah platform phishing-as-a-service (PhaaS) baru bernama VoidProxy terungkap menargetkan akun Microsoft 365 dan Google, termasuk akun yang terhubung melalui penyedia single sign-on (SSO) pihak ketiga seperti Okta.


Menurut laporan tim Okta Threat Intelligence, VoidProxy tergolong skalabel, sulit dideteksi, dan cukup canggih. Platform ini memanfaatkan teknik adversary-in-the-middle (AitM) untuk mencuri kredensial, kode autentikasi multi-faktor (MFA), hingga session cookie secara langsung saat proses login berlangsung.


Metode Serangan VoidProxy

  • Awal serangan biasanya berasal dari email phishing yang dikirim menggunakan akun sah yang sudah disusupi di layanan email seperti Constant Contact, Active Campaign, atau NotifyVisitors. Email ini menyertakan tautan singkat yang akan membawa korban melalui beberapa pengalihan hingga akhirnya ke situs phishing.
  • Hosting situs berbahaya dilakukan di domain sekali pakai berbiaya rendah seperti .icu, .sbs, .cfd, .xyz, .top, dan .home. Semua domain tersebut dilindungi Cloudflare untuk menyamarkan alamat IP asli.
  • Korban pertama kali akan dihadapkan pada tantangan CAPTCHA Cloudflare, yang berfungsi menyaring bot sekaligus meningkatkan kesan legitimasi. Cloudflare Worker kemudian digunakan untuk memfilter lalu lintas dan memuat halaman phishing.


Taktik Penipuan

  • Korban yang menjadi target utama diarahkan ke halaman login palsu Microsoft atau Google, sedangkan pengguna acak akan dialihkan ke halaman umum atau pesan sambutan biasa agar tidak menimbulkan kecurigaan.
  • Saat kredensial dimasukkan, informasi tersebut diproksikan melalui server VoidProxy AitM menuju server sah milik Google atau Microsoft.
  • Bagi akun dengan integrasi SSO Okta, korban dialihkan ke tahap kedua berupa halaman phishing yang meniru alur login Microsoft 365 atau Google via Okta. Permintaan login ini diproksikan ke server Okta, memungkinkan penyerang menangkap username, password, dan kode MFA.
  • Setelah layanan asli mengeluarkan session cookie, VoidProxy menyimpannya dan menghadirkannya langsung di panel admin platform agar penyerang bisa mengambil alih akun tanpa perlu login ulang.


Mitigasi

Okta menegaskan bahwa pengguna yang sudah mengaktifkan phishing-resistant authentication seperti Okta FastPass terlindungi dari serangan VoidProxy, serta akan menerima peringatan jika akun mereka sedang diserang.


Para peneliti merekomendasikan langkah berikut untuk meningkatkan perlindungan:

  • Membatasi akses aplikasi sensitif hanya melalui perangkat yang dikelola.
  • Menggunakan kontrol akses berbasis risiko.
  • Menerapkan pengikatan IP session khususnya pada aplikasi administratif.
  • Memaksa autentikasi ulang untuk admin yang mencoba melakukan tindakan berisiko tinggi.

Google Microsoft Security
Comments
0 Comments

No comments

Subscribe to: Post Comments (Atom)