Mengenal Ancaman SeasonalInvite: Phishing Berkedok eCard
Keamanan siber dunia kini menghadapi tantangan baru dengan munculnya kampanye SeasonalInvite. Sejak Januari 2026, serangan ini terus memanipulasi pengguna Windows dan macOS melalui rekayasa sosial yang memanfaatkan tema kalender musiman. Ancaman ini tidak hanya sekadar mencuri data, tetapi secara aktif menyebarkan alat Remote Monitoring and Management (RMM) yang sah untuk menguasai perangkat korban.
Forescout Research telah mendeteksi setidaknya 959 domain unik yang terlibat dalam aksi ini. Penyerang menggunakan sistem distribusi lalu lintas (TDS) yang canggih untuk mengarahkan korban ke halaman phishing, sekaligus menghindari deteksi oleh pemindai keamanan otomatis. Inilah mengapa kesadaran akan ancaman SeasonalInvite menjadi krusial bagi setiap organisasi.
Bagaimana SeasonalInvite Bekerja?
Strategi utama dari kampanye SeasonalInvite adalah penggunaan umpan yang relevan dengan waktu tertentu. Misalnya, pelaku menggunakan tema Tahun Baru, kartu ucapan Valentine, hingga dokumen pajak atau undangan acara musim semi. Setiap halaman web phishing yang digunakan sangat meyakinkan dan sering kali meniru layanan kartu ucapan resmi.
Halaman tersebut menampilkan animasi loading dengan pesan: “Kartu elektronik eksklusif Anda akan diunduh secara otomatis dalam 3 detik.” Setelah waktu berlalu, skrip otomatis mengunduh muatan (payload) berbahaya. Yang menarik, penelitian kami menunjukkan indikasi penggunaan kode yang dihasilkan oleh kecerdasan buatan (LLM), yang memungkinkan penyerang mengubah taktik mereka dengan sangat cepat.
Penyalahgunaan Alat RMM untuk Akses Jarak Jauh
Salah satu aspek paling berbahaya dari SeasonalInvite adalah penyalahgunaan alat RMM yang sah seperti ConnectWise ScreenConnect, LogMeIn Resolve, Kaseya, dan O&O Syspectr. Dengan menggunakan aplikasi yang sudah ditandatangani secara digital, penyerang dapat melewati banyak mekanisme keamanan sistem operasi tanpa memicu peringatan antivirus tradisional.
Setelah perangkat terinfeksi, penyerang mendapatkan akses penuh ke sistem korban. Mereka dapat melakukan aktivitas berbahaya secara diam-diam karena alat yang digunakan adalah aplikasi manajemen jarak jauh yang umum digunakan oleh administrator IT. Oleh karena itu, memantau penggunaan alat RMM di lingkungan organisasi Anda menjadi sangat penting saat ini.
Analisis Teknis: Penggunaan Payload dan Penghindaran
Pada perangkat Windows, serangan SeasonalInvite sering kali menggunakan file batch atau skrip VBScript yang dikaburkan. Skrip ini dirancang untuk mencoba mendapatkan hak akses administratif melalui UAC (User Account Control). Jika berhasil, payload akan menginstal alat RMM yang terhubung langsung ke infrastruktur milik penyerang.
Sementara itu, pada sistem macOS, penyerang menggunakan pendekatan yang lebih halus. Mereka mengunduh paket penginstal yang sah bersama dengan file konfigurasi terpisah. File konfigurasi inilah yang mengarahkan aplikasi RMM untuk terhubung ke server penyerang, bukan ke server penyedia layanan resmi. Metode ini memungkinkan mereka melewati pemeriksaan keamanan Gatekeeper di macOS.
Langkah Mitigasi dan Rekomendasi Keamanan
Untuk melindungi organisasi dari dampak SeasonalInvite, langkah mitigasi yang proaktif sangat diperlukan. Berikut adalah beberapa rekomendasi dari para ahli:
- Kontrol Penggunaan RMM: Hanya izinkan alat manajemen jarak jauh yang sudah terdaftar dalam inventaris resmi perusahaan. Blokir komunikasi ke infrastruktur RMM yang tidak dikenal.
- Penguatan Email dan Web Filtering: Tingkatkan kewaspadaan terhadap email yang berisi undangan eCard, dokumen bisnis, atau tautan unduhan yang tidak terduga.
- Inspeksi Lalu Lintas Keluar: Pantau pola lalu lintas yang mencurigakan, seperti koneksi ke layanan pihak ketiga yang tidak biasa atau pengiriman data ke server yang tidak dikenal.
- Pelatihan Kesadaran Pengguna: Edukasi karyawan agar tidak sembarangan mengeksekusi file dari folder unduhan, terutama jika muncul permintaan izin administratif (UAC).
Kesimpulan
Kampanye SeasonalInvite menunjukkan betapa liciknya taktik penyerang modern dengan menggabungkan teknik social engineering dan penyalahgunaan alat IT yang sah. Dengan memanfaatkan AI untuk mempercepat pembuatan halaman phishing, operator ancaman ini dapat terus beradaptasi sesuai dengan musim dan tren yang ada.
Organisasi harus menerapkan strategi pertahanan berlapis untuk mendeteksi anomali sejak dini. Jangan menunggu sampai terjadi insiden, mulailah dengan membatasi eksekusi perangkat lunak yang tidak sah dan meningkatkan pengawasan terhadap perilaku jaringan yang tidak biasa.
Forescout Indonesia merupakan bagian dari PT. iLogo Infralogy Indonesia, yang bertindak sebagai partner resmi Forescout. Selain itu, kami juga berperan sebagai penyedia layanan (vendor) sekaligus distributor berbagai produk Infrastruktur IT dan Cybersecurity terbaik di Indonesia.