Saat Aplikasi Remote Balik Menyerang Teknisi

Saat Aplikasi Remote Balik Menyerang Teknisi

ConnectWise menambal celah ScreenConnect pada 8 September 2026, skornya 9,9 dari 10. Celah ini membalik arah: komputer yang sedang dibantu bisa mengirim file ke laptop teknisinya, lalu menjalankannya di sana. Tiga hari kemudian badan siber pemerintah AS menyatakan celah itu sudah dipakai menyerang, dengan tenggat tambal tiga hari.

Apa yang sebenarnya terjadi?

ConnectWise mengumumkan celahnya dan merilis ScreenConnect 26.6.5 di hari yang sama, 8 September 2026. Nomornya CVE-2026-84869, dan skornya 9,9 dari 10 di CVSS — skala baku industri untuk mengukur keparahan sebuah celah. Di atas angka 9 artinya orang asing bisa mengambil alih mesin tanpa perlu punya akun di situ.

Dua istilah menentukan siapa yang kena. Di ScreenConnect, Host adalah komputer teknisi yang memegang sesi. Guest adalah komputer yang dikendalikan, biasanya milik klien. Bayangan semua orang soal remote support selalu satu arah: yang menolong menjangkau ke dalam, yang ditolong diam menerima.

Celah ini jalannya terbalik. Selama sesi berlangsung, pengiriman file bisa tembus tanpa persetujuan dari sisi Host, dan file itu bisa ikut dijalankan di mesin Host. Yang dibobol laptop penolongnya.

Huntress sudah melihat pola ini dipakai di lapangan. Catatan mereka soal instalasi ScreenConnect palsu mendata dua kejadian pada 20 Agustus 2026 dan satu lagi pada 24 Agustus, di tiga organisasi yang tidak saling berhubungan. Alurnya sama: korban dibujuk memasang ScreenConnect versi modifikasi. Begitu ada teknisi yang menyambung, client palsu itu menyodorkan empat file VBScript — format skrip bawaan Windows, jalan tanpa perlu software tambahan — ke komputer si teknisi.

Empat skrip itu bagi tugas. Yang pertama mendata mesin: antivirus apa yang jalan, RAM berapa, mesin fisik atau virtual. Yang kedua mengambil daftar payload dari Dropbox. Yang ketiga menarik payload terenkripsi sesuai hasil pendataan tadi. Yang keempat membukanya dan menyalakan PowerShell. Satu entri registry bernama WindowsServiceHost membuat rangkaian itu hidup lagi setiap komputer dinyalakan.

Pada 11 September 2026, CISA memasukkan CVE-2026-84869 ke katalog KEV — daftar celah yang sudah terbukti dipakai menyerang, bukan sekadar berbahaya di atas kertas. Tenggat tambal untuk instansi federal AS: 14 September. Tiga hari. Di gelombang yang sama ada dua celah MikroTik RouterOS yang masuk sehari sebelumnya, yang minggu lalu kami bahas.

Kenapa ini penting walau Anda tidak pakai ScreenConnect?

ScreenConnect cuma satu merek dari satu kategori yang hampir semua bisnis di sini sudah pakai tanpa pernah dipikirkan: remote support agent, program kecil yang membuat teknisi bisa mengambil alih layar komputer Anda dari jauh. AnyDesk, TeamViewer, RustDesk, Splashtop, sampai tool bawaan vendor — semuanya duduk di posisi yang sama di jaringan Anda.

Lihat bagaimana urusan IT benar-benar jalan di hotel, pabrik, atau distributor isi 30 orang. Tidak ada divisi IT. Yang ada satu vendor, satu freelance, atau keponakan yang dulu memasang jaringannya. Satu laptop — sering laptop pribadi — memegang akses jarak jauh ke mesin kasir, server di rak, DVR CCTV, dan PC yang dipakai bagian keuangan.

Semua orang menghitung risikonya dari satu arah: bagaimana kalau teknisinya ceroboh di komputer saya. Itu justru risiko yang kecil. Yang besar, laptop teknisi itu simpul. Dia menempel ke dua puluh pelanggan sekaligus. Bobol satu laptop, penyerang sudah berada di dalam dua puluh bisnis — lewat program yang semua komputer itu telanjur percaya.

Ini persoalan kotak kunci tukang kunci. Tidak ada maling yang repot mencongkel pintu depan kalau kotak tempat semua kunci cadangan digantung bisa diangkat sekalian.

Siapa saja yang sudah bisa masuk ke komputer Anda?

Hampir tidak ada pemilik usaha yang bisa menjawab ini dari ingatan, dan daftarnya tidak pernah sependek dugaan. Lima pertanyaan cukup untuk menyusunnya:

1. Program remote apa saja yang terpasang di tiap komputer kantor? Periksa daftar program dan service yang jalan di mesin kasir, PC kantor, server, dan komputer yang menempel ke DVR CCTV.
2. Siapa pemilik tiap akses itu? Tiap agent harus bisa ditarik ke satu vendor, satu kontrak, idealnya satu nama orang. Agent yang tidak ada pemiliknya sama saja pintu terbuka tanpa penjaga.
3. Mana yang masih perlu ada? Program support biasanya hidup lebih panjang daripada proyek yang dulu memasangnya. Integrator yang kelar kerja tahun 2024 umumnya masih nyantol sampai sekarang.
4. Mesin mana yang bisa diakses tanpa perlu ada yang menekan "terima"? Setelan itu memang praktis buat teknisinya. Itu juga seluruh permukaan serangan selepas jam kantor.
5. Konsol vendornya pakai akun atas nama orang, plus kode kedua selain password? Login bersama bernama admin membuat tidak ada satu baris log pun yang bisa ditunjuk pelakunya.

Daftar seperti ini tempatnya satu map dengan dokumen serah terima sistem. Kalau belum pernah disusun, tulisan kami soal apa yang wajib diminta saat serah terima vendor membahas posisi daftar akses di paket yang lebih besar.

Yang bisa dikerjakan minggu ini

1. Naikkan versi client-nya, bukan cuma server. ScreenConnect 26.6.5 sudah menutup celah ini, tapi client terpasang di komputer-komputer dan hampir selalu tertinggal versinya. Ceknya di mesin, bukan di konsol.
2. Matikan transfer file kalau tidak dipakai. ConnectWise menyebut izin TransferFiles bisa dimatikan sebagai penahan sementara buat yang belum sempat update. Sesi support kebanyakan cuma butuh layar dan mouse.
3. Copot agent yang sudah yatim. Apa pun yang proyeknya sudah selesai, hari ini juga dikeluarkan dari mesin.
4. Jangan melayani klien dari laptop yang menyimpan kredensial Anda. Buat vendor, ini kontrol paling murah yang tersedia: satu mesin virtual khusus untuk sesi remote, tanpa password tersimpan, tanpa profil VPN klien, tanpa signing key.
5. Akun atas nama orang plus kode kedua di setiap konsol support. Kunci induknya ada di konsol, bukan di komputer klien.
6. Baca log sesinya. Di ScreenConnect, cari baris yang menunjukkan file dijalankan dari sisi Guest. Di tool lain, padanannya transfer file yang bukan Anda yang memulai.
7. Masukkan kewajiban lapor ke kontrak. Vendor wajib memberi tahu Anda secara tertulis saat sistem mereka sendiri kebobolan, dengan batas waktu yang jelas. Pembeli di Eropa sudah dapat itu dari undang-undang — tulisan kami soal aturan lapor 24 jam memuat rumusan yang layak dicontek ke dalam purchase order.

Kalau telanjur kena, apa yang dilakukan?

Install ulang. Huntress menyarankan mesin yang terkena dibangun ulang dari media instalasi bersih, bukan dibersihkan di tempat. Alasannya sederhana: jejaknya menempel di beberapa lokasi sekaligus, dan payload-nya diambil baru setiap kali dijalankan.

Sesudah itu, kerjakan dari mesin itu ke luar. Semua kredensial yang pernah singgah di situ dianggap hangus: sesi remote tersimpan, profil VPN klien, password admin yang dititipkan ke browser, login konsol cloud. Ganti semuanya, lalu cek apakah akun yang sama dipakai ulang di klien lain.

Terakhir, kabari klien yang lain. Satu laptop support yang menyentuh dua puluh jaringan berarti insiden di dua puluh perusahaan, bukan di satu. Diam di titik ini yang membuat satu teknisi kebobolan berubah jadi seperempat daftar klien ikut kebobolan.

Bagian yang tetap berlaku tahun depan

Celah yang ini selesai dengan update. Bentuk masalahnya tidak. Aplikasi remote support itu jalan masuk yang sudah diizinkan, menempel permanen di mesin-mesin penting, diberikan sekali karena praktis dan nyaris tidak pernah dicabut.

Dua kebiasaan sudah menutup sebagian besarnya. Tahu siapa saja yang bisa masuk ke sistem Anda, tertulis, dengan nama di sebelah tiap barisnya. Cabut yang sudah tidak perlu.

Dua-duanya membosankan dan tidak pernah muncul di laporan kuartalan. Dua-duanya juga yang memisahkan antara menambal satu laptop dan membangun ulang dua puluh jaringan.