Saat Aplikasi Remote Balik Menyerang Teknisi

Aplikasi bantuan jarak jauh dapat membuka jalan serangan ke laptop teknisi, bukan hanya komputer pelanggan. Pisahkan perangkat kerja dukungan dari akun penting, perbarui aplikasi, dan batasi hak sesi bantuan. Kasus ScreenConnect berikut menunjukkan mengapa vendor perlu menjelaskan arah transfer berkas, izin eksekusi, serta siapa yang memeriksa pembaruan keamanan.

ConnectWise menambal celah ScreenConnect pada 8 September 2026, skornya 9,9 dari 10. Celah ini membalik arah: komputer yang sedang dibantu bisa mengirim berkas ke laptop teknisinya, lalu menjalankannya di sana. Tiga hari kemudian badan siber pemerintah AS menyatakan celah itu sudah dipakai menyerang, dengan tenggat tambal tiga hari.

Apa yang sebenarnya terjadi?

ConnectWise merilis ScreenConnect 26.6.5 pada 8 September 2026, setelah pemberitahuan awal pada 3 September. Nomornya CVE-2026-84869, dan skornya 9,9 dari 10 di CVSS — skala baku industri untuk mengukur keparahan sebuah celah. Skor 9,0 hingga 10,0 tergolong kritis. Angka tersebut saja tidak menunjukkan apakah eksploitasi memerlukan akun atau interaksi pengguna.

Dua istilah berikut menjelaskan arah serangan. Di ScreenConnect, Host adalah komputer teknisi yang memegang sesi. Guest adalah komputer yang dikendalikan, biasanya milik klien. Bantuan jarak jauh biasanya dibayangkan berlangsung satu arah, dari komputer teknisi ke komputer pelanggan.

Celah ini memungkinkan arah sebaliknya. Dalam sesi aktif, komputer Guest dapat mengirim berkas tanpa persetujuan Host, lalu menjalankannya di sana. Akibatnya, laptop teknisi menjadi sasaran.

Huntress sudah melihat pola ini dipakai di lapangan. Catatan mereka soal instalasi ScreenConnect palsu mendata dua kejadian pada 20 Agustus 2026 dan satu lagi pada 24 Agustus, di tiga organisasi yang tidak saling berhubungan. Alurnya sama: korban dibujuk memasang ScreenConnect versi modifikasi. Begitu ada teknisi yang menyambung, aplikasi klien palsu itu menyodorkan empat berkas VBScript — format skrip yang dijalankan melalui Windows Script Host dalam kejadian tersebut — ke komputer si teknisi.

Keempat skrip menjalankan tugas berbeda. Yang pertama mendata mesin: antivirus apa yang jalan, RAM berapa, mesin fisik atau virtual. Yang kedua mengambil daftar muatan serangan dari Dropbox. Yang ketiga menarik muatan serangan terenkripsi sesuai hasil pendataan tadi. Yang keempat membukanya dan menyalakan PowerShell. Satu entri registri bernama WindowsServiceHost membuat rangkaian itu hidup lagi setiap komputer dinyalakan.

Pada 11 September 2026, CISA memasukkan CVE-2026-84869 ke katalog KEV — daftar celah yang sudah terbukti dipakai menyerang, bukan sekadar berbahaya di atas kertas. Tenggat tambal untuk instansi federal AS: 14 September. Tiga hari. Di gelombang yang sama ada dua celah MikroTik RouterOS yang masuk sehari sebelumnya, yang minggu lalu saya bahas.

Kenapa ini penting walau Anda tidak pakai ScreenConnect?

ScreenConnect hanya satu merek dari satu kategori yang hampir semua bisnis di sini sudah pakai tanpa pernah dipikirkan: agen bantuan jarak jauh, program kecil yang membuat teknisi bisa mengambil alih layar komputer Anda dari jauh. AnyDesk, TeamViewer, RustDesk, Splashtop, sampai alat bawaan vendor — semuanya memegang posisi serupa sebagai jalur akses ke jaringan Anda.

Bayangkan hotel, pabrik, atau distributor dengan 30 orang tanpa divisi TI internal. Dukungan teknis mungkin ditangani satu vendor atau tenaga lepas yang dulu memasang jaringan. Satu laptop — sering laptop pribadi — memegang akses jarak jauh ke mesin kasir, server di rak, DVR CCTV, dan PC yang dipakai bagian keuangan.

Risikonya melampaui kesalahan teknisi saat memakai komputer pelanggan. Laptop teknisi dapat menyimpan akses ke dua puluh jaringan pelanggan. Jika laptop tersebut dikuasai penyerang, akses yang sudah dipercaya komputer pelanggan dapat digunakan untuk menjangkau bisnis lain.

Risiko ini menyerupai kotak kunci milik tukang kunci. Mengambil kotak tersebut dapat membuka banyak pintu sekaligus.

Siapa saja yang sudah bisa masuk ke komputer Anda?

Hampir tidak ada pemilik usaha yang bisa menjawab ini dari ingatan, dan daftarnya tidak pernah sependek dugaan. Lima pertanyaan cukup untuk menyusunnya:

1. Program jarak jauh apa saja yang terpasang di tiap komputer kantor? Periksa daftar program dan layanan yang jalan di mesin kasir, PC kantor, server, dan komputer yang menempel ke DVR CCTV.
2. Siapa pemilik tiap akses itu? Tiap agen harus bisa ditarik ke satu vendor, satu kontrak, idealnya satu nama orang. Agen yang tidak ada pemiliknya sama saja pintu terbuka tanpa penjaga.
3. Mana yang masih perlu ada? Program bantuan dapat tetap aktif setelah proyek pemasangannya selesai. Periksa apakah integrator yang menyelesaikan pekerjaan pada 2024 masih memiliki akses.
4. Mesin mana yang bisa diakses tanpa perlu ada yang menekan "terima"? Setelan itu memang praktis buat teknisinya. Itu juga seluruh permukaan serangan selepas jam kantor.
5. Konsol vendornya pakai akun atas nama orang, plus kode kedua selain kata sandi? Login bersama bernama admin membuat tidak ada satu baris log pun yang bisa ditunjuk pelakunya.

Daftar seperti ini tempatnya satu map dengan dokumen serah terima sistem. Kalau belum pernah disusun, tulisan saya soal apa yang wajib diminta saat serah terima vendor membahas posisi daftar akses di paket yang lebih besar.

Yang bisa dikerjakan minggu ini

1. Perbarui server dan aplikasi klien yang terdampak. Untuk pemasangan di server sendiri, naikkan server ke 26.6.5 atau sesudahnya, pasang ulang aplikasi klien Host, dan perbarui agen Access sesuai petunjuk vendor. Server awan sudah ditambal ConnectWise; versi aplikasi pada komputer pengguna tetap perlu diperiksa.
2. Matikan transfer berkas kalau tidak dipakai. ConnectWise menyebut izin TransferFiles bisa dimatikan sebagai penahan sementara buat yang belum sempat pembaruan. Sesi dukungan kebanyakan hanya butuh layar dan mouse.
3. Hapus agen yang tidak lagi memiliki penanggung jawab. Apa pun yang proyeknya sudah selesai, hari ini juga dikeluarkan dari mesin.
4. Jangan melayani klien dari laptop yang menyimpan kredensial Anda. Buat vendor, ini kontrol paling murah yang tersedia: satu mesin virtual khusus untuk sesi jarak jauh, tanpa kata sandi tersimpan, tanpa profil VPN klien, tanpa kunci penandatanganan.
5. Akun atas nama orang plus kode kedua di setiap konsol dukungan. Kunci induknya ada di konsol, bukan di komputer klien.
6. Baca log sesinya. Di ScreenConnect, cari baris yang menunjukkan berkas dijalankan dari sisi Guest. Di alat lain, padanannya transfer berkas yang bukan Anda yang memulai.
7. Masukkan kewajiban lapor ke kontrak. Vendor wajib memberi tahu Anda secara tertulis saat sistem mereka sendiri kebobolan, dengan batas waktu yang jelas. Produsen produk yang tercakup di Uni Eropa memiliki kewajiban pelaporan tersendiri — tulisan saya soal aturan lapor 24 jam memuat rumusan yang layak dicontek ke dalam surat pesanan.

Kalau telanjur kena, apa yang dilakukan?

Huntress menyarankan pemasangan ulang mesin yang terkena dari media instalasi bersih. Pembersihan pada instalasi lama sulit dipastikan tuntas karena komponen serangan bertahan di beberapa lokasi, sementara muatan baru diunduh setiap kali dijalankan.

Sesudahnya, telusuri akun yang pernah digunakan pada mesin tersebut. Anggap kredensial berikut telah terpapar: sesi jarak jauh tersimpan, profil VPN klien, kata sandi admin yang dititipkan ke peramban, login konsol komputasi awan. Ganti semuanya, lalu cek apakah akun yang sama dipakai ulang di klien lain.

Beri tahu pelanggan lain yang jaringannya pernah diakses dari laptop tersebut. Jika ada dua puluh jaringan, pemeriksaan perlu mencakup dua puluh perusahaan. Pemberitahuan membantu pelanggan memeriksa dan membatasi risiko sebelum serangan meluas.

Bagian yang tetap berlaku tahun depan

Celah yang ini selesai dengan pembaruan. Bentuk masalahnya tidak. Aplikasi bantuan jarak jauh itu jalan masuk yang sudah diizinkan, menempel permanen di mesin-mesin penting, diberikan sekali karena praktis dan nyaris tidak pernah dicabut.

Dua kebiasaan membantu membatasi risiko ini: catat setiap pihak yang memiliki akses beserta penanggung jawabnya, lalu cabut akses yang tidak lagi diperlukan.

Pemeliharaan daftar akses dan pencabutan izin dapat membatasi dampak satu laptop yang disusupi agar tidak menjalar ke banyak jaringan.