Lapsus$ vs Microsoft 2022: Forensik Cloud yang Membongkar Geng Remaja

Konteks Operasional

Lapsus$ mengeksploitasi gap antara cloud credential management dan memory forensics. Target utama adalah cloud tenant Microsoft dengan akses ke repositori source code sensitif. Pelaku menggunakan teknik credential stuffing dan session hijacking tanpa malware deployment, memanfaatkan lemahnya enforcement multi-factor authentication (MFA) di beberapa subsidiary.

Vektor Awal & Lateral Movement

Initial access diperoleh melalui:

• Compromised employee credentials dari third-party vendor (Okta)
• Exploit terhadap misconfigured Azure AD Conditional Access Policies

Lateral movement dilakukan via:

• Abuse of OAuth application permissions
• Memory scraping untuk extract cloud session tokens dari compromised workstations

Pivot Yang Sering Diabaikan Defender

Tim forensik Microsoft menemukan artifact kritis di:

• Azure AD Sign-In Logs: Anomali waktu login (3AM GMT) dari IP residential UK
• Memory Dumps: PowerShell proses yang melakukan token extraction dari browser processes
• VM Serial Console Logs: Command history yang tidak tercatat di disk

Pelajaran untuk Tim Indonesia

• Implementasikan Cloud Memory Forensics sebagai bagian dari standard IR playbook
• Audit rutin OAuth application permissions, terutama yang memiliki Directory.ReadWrite.All
• Monitor sign-in attempts dari residential IP ranges dan lokasi geografis tidak biasa

Indikator Detection Yang Bisa Dipasang Besok

• Azure Sentinel Query: Deteksi serial console access ke VM tanpa MFA challenge
• EDR Rule: Alert pada PowerShell yang mengakses browser memory space (lsass.exe, chrome.exe)
• Custom Log Analytics: Flag session tokens yang digunakan dari multiple geolocations dalam waktu singkat