Peretas Incar Departemen HR dan Payroll di AS dengan Aplikasi Desktop Palsu

Departemen sumber daya manusia dan penggajian di Amerika Serikat kini menjadi target serangan siber yang menggunakan modus operandi baru. Para peretas menyamar sebagai penyedia platform HR dan payroll ternama dengan memanfaatkan klien desktop palsu untuk membobol sistem perusahaan.

Pelaku kejahatan ini memanfaatkan layanan kecerdasan buatan atau AI bernama Lovable untuk menciptakan halaman landing yang tampak sangat mirip dengan situs resmi vendor. Teknik ini membuat calon korban merasa yakin bahwa mereka sedang mengakses portal resmi untuk mengunduh perangkat lunak pendukung pekerjaan mereka.

Pengguna yang terjebak kemudian diarahkan untuk mengunduh aplikasi dari repositori GitHub yang sebenarnya berisi perangkat lunak ScreenConnect yang telah dimodifikasi. ScreenConnect sendiri merupakan perangkat lunak akses jarak jauh atau remote desktop yang lazim digunakan oleh tim dukungan teknis untuk memperbaiki masalah pada perangkat klien secara daring.

File eksekusi yang diunduh dari situs tersebut dirancang agar tidak memicu deteksi perangkat lunak antivirus standar. Hal ini terjadi karena kode tersebut tidak mengandung malware yang bersifat merusak secara langsung, melainkan berfungsi sebagai pintu belakang yang aktif saat pengguna menjalankan instalasi.

Setelah terpasang, aplikasi tersebut beroperasi dalam mode unattended atau tanpa pengawasan. Pengguna tidak akan melihat notifikasi, ikon pada baki sistem, atau spanduk peringatan yang biasanya muncul saat sebuah perangkat sedang dikendalikan oleh pihak lain dari jarak jauh.

Tim peneliti keamanan dari Allure mengungkapkan bahwa pelaku sengaja menonaktifkan semua indikator visual yang menghadap pengguna. Mereka mengekstraksi konfigurasi klien dan parameter peluncuran sehingga akses kontrol penuh bisa dilakukan secara diam-diam tanpa memicu kecurigaan korban.

Serangan ini memiliki potensi dampak yang sangat serius bagi stabilitas keuangan perusahaan. Siapa pun yang mengelola data penggajian di komputer tersebut secara tidak langsung memberikan akses penuh kepada peretas untuk mengalihkan dana atau menguras seluruh anggaran gaji karyawan.

Meskipun jumlah unduhan di GitHub tercatat sebanyak 291 kali, angka ini diperkirakan mencakup peneliti keamanan dan sistem pengujian mandiri atau sandbox. Masih sulit memastikan berapa banyak perangkat karyawan yang telah berhasil disusupi oleh pelaku dalam kampanye ini.

Perusahaan kini diimbau untuk segera melakukan verifikasi terhadap platform HR atau payroll yang mereka gunakan. Langkah awal yang paling efektif adalah memastikan apakah vendor memang menyediakan klien desktop resmi atau seluruh layanan hanya bisa diakses melalui peramban web.

Seluruh karyawan juga diminta agar tidak mengunduh perangkat lunak apa pun dari sumber luar selain kanal resmi vendor atau direktori yang dikelola oleh departemen TI internal. Keamanan siber saat ini tidak lagi cukup hanya mengandalkan deteksi antivirus tradisional untuk mengidentifikasi ancaman yang menyamar sebagai aplikasi sah.