Snowflake 2024: Bagaimana Satu Stealer Log Membuka 165 Perusahaan Sekaligus

Konteks Operasional

Kasus Snowflake 2024 menunjukkan bagaimana satu titik lemah dalam keamanan dapat meluas menjadi insiden besar. Dengan target utama adalah pelanggan Snowflake seperti Ticketmaster, AT&T, Santander, dan Advance Auto Parts, pelaku memanfaatkan kredensial yang dicuri dari laptop kontraktor. Kebanyakan laptop ini adalah Mac pribadi yang juga digunakan untuk aktivitas non-profesional seperti bermain game. Kredensial ini kemudian dijual di pasar gelap seperti Russian Market dan Genesis Market dengan harga yang sangat murah ($10-50). Snowflake tenants yang tidak memiliki Multi-Factor Authentication (MFA) menjadi target utama eksploitasi.

Vektor Awal & Lateral Movement

Vektor awal dalam kasus ini adalah malware yang menyamar sebagai cheat Fortnite atau crack Photoshop. Malware ini menargetkan laptop kontraktor yang sering digunakan untuk aktivitas pribadi. Setelah kredensial dicuri, pelaku menjualnya di pasar gelap. Kredensial ini kemudian digunakan untuk mengakses sistem Snowflake tenants yang tidak memiliki MFA. Median waktu dari pencurian kredensial hingga eksploitasi adalah 13 hari, menunjukkan celah deteksi yang signifikan. Lateral movement dilakukan dengan memanfaatkan akses yang diberikan oleh kredensial yang dicuri untuk bergerak di dalam jaringan Snowflake.

Pivot Yang Sering Diabaikan Defender

Defender sering mengabaikan pentingnya monitoring aktivitas yang tidak biasa pada kredensial yang digunakan untuk akses sistem. Dalam kasus ini, kredensial yang dicuri dari laptop kontraktor digunakan untuk mengakses sistem Snowflake tanpa adanya alarm yang signifikan. Selain itu, penggunaan laptop pribadi untuk aktivitas profesional tanpa kontrol keamanan yang ketat juga menjadi titik lemah yang sering diabaikan. Defender juga cenderung kurang memperhatikan pasar gelap di mana kredensial dicuri dan dijual, padahal monitoring aktif terhadap pasar ini dapat memberikan early warning yang berharga.

Pelajaran untuk Tim Indonesia

• Implementasi MFA: Pastikan semua sistem penting memiliki Multi-Factor Authentication untuk mengurangi risiko eksploitasi kredensial yang dicuri.
• Monitoring Stealer Log: Gunakan layanan seperti Hudson Rock, Flare, atau KELA untuk memonitor aktivitas mencurigakan pada kredensial.
• Kontrol Akses: Batasi penggunaan laptop pribadi untuk aktivitas profesional dan terapkan kebijakan keamanan yang ketat pada perangkat yang digunakan untuk mengakses sistem perusahaan.
• Pelatihan Kesadaran: Edukasi kontraktor dan karyawan tentang bahaya menggunakan software ilegal atau cheat pada perangkat yang juga digunakan untuk kerja.

Indikator Detection Yang Bisa Dipasang Besok

• Anomali Login: Pasang alert untuk login yang dilakukan dari lokasi atau perangkat yang tidak biasa.
• Monitoring Pasar Gelap: Integrasi dengan layanan monitoring pasar gelap untuk mendeteksi kredensial perusahaan yang mungkin telah dicuri.
• Audit Kredensial: Lakukan audit berkala terhadap kredensial yang digunakan untuk mengakses sistem penting.
• Deteksi Malware: Implementasikan solusi deteksi malware yang dapat mengidentifikasi cheat atau crack yang sering digunakan sebagai vektor awal.