Serangan Vishing Microsoft Teams Digunakan untuk Menyebarkan Chaos Ransomware

Peneliti keamanan dari Sophos mengungkap kampanye serangan siber baru yang memanfaatkan Microsoft Teams sebagai media untuk menyamar sebagai staf dukungan TI (IT support) guna memperoleh akses ke perangkat korban dan menyebarkan Chaos ransomware.

Kampanye yang dilacak dengan nama STAC4749 ini menargetkan puluhan organisasi di Amerika Utara antara Februari hingga Juni 2026.

Dalam sedikitnya tiga insiden, serangan berakhir dengan enkripsi data menggunakan Chaos ransomware. Salah satu kasus bahkan hanya membutuhkan waktu kurang dari 17 jam sejak kontak pertama dengan korban hingga proses enkripsi file dimulai.

Sebagian Besar Korban Berada di Amerika Utara

Menurut Sophos, sekitar 95% serangan ditujukan kepada organisasi di:

• Kanada (50%).
• Amerika Serikat (45%).

Sektor yang paling banyak menjadi sasaran meliputi:

• Jasa.
• Manufaktur.
• Energi.
• Konstruksi dan rekayasa (engineering).

Menyamar sebagai Tim IT Melalui Microsoft Teams

Serangan diawali dengan akun Microsoft Teams eksternal yang menghubungi karyawan melalui pesan maupun panggilan suara.

Pelaku berpura-pura sebagai petugas helpdesk atau tim dukungan TI perusahaan.

Durasi panggilan yang diamati berkisar antara 90 detik hingga lebih dari 20 menit, meski sebagian besar hanya berlangsung sekitar dua hingga dua setengah menit.

Berbeda dengan kampanye serupa sebelumnya yang menggunakan domain onmicrosoft.com, kelompok STAC4749 mendaftarkan domain bertema dukungan TI dengan ekstensi .top agar terlihat lebih meyakinkan.

Beberapa contoh domain yang digunakan antara lain:

• sequrityupdate.top
• scan-security.top
• system-connect.top
• corp-connect.top
• supportsoft.top

Pelaku juga menggunakan identitas palsu seperti:

• Anthony Brooks.
• Dylan Harper.
• Ethan Parker.
• Jason Mitchell.

Korban Diminta Menjalankan Aplikasi Remote

Tujuan utama panggilan tersebut adalah membujuk korban agar memberikan akses jarak jauh ke komputer mereka.

Awalnya pelaku lebih sering menggunakan Microsoft Quick Assist.

Namun apabila aplikasi tersebut diblokir atau tidak tersedia, mereka meminta korban memasang aplikasi RemSupp, sebuah perangkat lunak remote management berbasis cloud.

Mulai April 2026, RemSupp justru menjadi pilihan utama karena dinilai lebih jarang masuk ke daftar aplikasi yang diblokir oleh perusahaan.

Backdoor Dipasang Setelah Akses Berhasil

Setelah memperoleh akses ke komputer korban, pelaku menjalankan PowerShell untuk mengunduh backdoor ke dalam folder %AppData%.

Malware tersebut kemudian:

• Mengumpulkan informasi sistem.
• Membuat mekanisme persistensi.
• Memberikan akses jarak jauh berkelanjutan kepada penyerang.

Agar tidak menimbulkan kecurigaan, entri registry yang dibuat malware menggunakan nama yang menyerupai komponen audio Windows, seperti:

• Realtek HD Audio.
• Realtek Audio UHD.
• WinAudio life2.

Menyiapkan Akses Cadangan

Pada insiden yang berujung pada serangan ransomware, pelaku juga memasang perangkat lunak akses jarak jauh tambahan seperti:

• DWAgent.
• AnyDesk.

Selain itu, mereka berusaha mengaktifkan Remote Desktop Protocol (RDP) agar dapat berpindah ke perangkat lain di dalam jaringan perusahaan.

Sophos mencatat bahwa rantai serangan terus mengalami perubahan antara Februari hingga Mei 2026, termasuk pergantian nama malware, metode persistensi, hingga teknik penyebaran guna menghindari deteksi.

Berujung pada Serangan Chaos Ransomware

Sedikitnya tiga kompromi yang diamati Sophos akhirnya berkembang menjadi serangan Chaos ransomware.

Dalam setidaknya satu kasus, pelaku diduga mencuri data korban terlebih dahulu sebelum mengenkripsi sistem.

Saat ransomware dijalankan, proses enkripsi berlangsung secara bersamaan di seluruh perangkat yang telah berhasil dikompromikan.

Korban kemudian menerima catatan tebusan bernama:

readme.chaos.txt

Isi catatan tersebut menyatakan bahwa data telah dicuri dan akan dipublikasikan apabila korban tidak membayar uang tebusan.

Serangan Berlangsung Sangat Cepat

Sophos mengungkap salah satu insiden hanya membutuhkan waktu kurang dari 17 jam sejak panggilan Microsoft Teams pertama hingga ransomware aktif mengenkripsi file.

Kecepatan tersebut menunjukkan bahwa pelaku memiliki proses serangan yang sangat terorganisir.

Berdasarkan pola aktivitas yang diamati, Sophos menilai dengan tingkat keyakinan tinggi bahwa STAC4749 merupakan operasi bermotif finansial yang secara langsung menyebarkan ransomware atau bekerja sama dengan afiliasi ransomware.

Diduga Berhubungan dengan Kelompok Ransomware Lama

Operasi Chaos ransomware-as-a-Service (RaaS) diketahui aktif setidaknya sejak Februari 2025.

Sophos meyakini kelompok ini memiliki keterkaitan dengan mantan anggota geng ransomware BlackSuit dan Royal, yang sebelumnya juga merupakan pecahan dari sindikat kejahatan siber Conti.

Dalam beberapa tahun terakhir, Microsoft Teams semakin sering dimanfaatkan pelaku kejahatan siber sebagai media rekayasa sosial.

Sebelumnya, afiliasi Black Basta juga diketahui menggunakan Microsoft Teams setelah membanjiri email korban dengan pesan spam untuk kemudian menawarkan bantuan palsu dari tim IT.

Platform yang sama juga pernah dimanfaatkan dalam kampanye yang dikaitkan dengan kelompok APT Iran MuddyWater.

Meski demikian, Sophos menegaskan tidak menemukan bukti yang menghubungkan kampanye STAC4749 dengan aktivitas MuddyWater.