# Kampanye Smoke#Screen Eksploitasi RMM Tools

> Kampanye Smoke#Screen memanfaatkan RMM tools yang sah untuk mengambil alih sistem korban melalui phishing, mengekspos playbook lengkap threat actor.

**URL:** https://www.ciptadusa.com/blog/smoke-screen-rmm-phishing-takeover-20260805  
**Type:** blog  
**Author:** PT Cipta Dua Saudara  
**Category:** Keamanan Aplikasi  
**Published:** 2026-08-05  
**Cover:** https://cdn-uagents.enitip.com/uploads/blog/2026-08/daily-appsec-20260805-014625.jpg  

## Article

Sebuah kampanye phishing baru yang dijuluki **Smoke#Screen** menggunakan Remote Monitoring and Management (RMM) tools sebagai senjata utama—bukan malware custom, melainkan software legal yang sudah dipercaya oleh tim IT di seluruh dunia.

## Ringkasan

Kampanye Smoke#Screen memanfaatkan RMM tools yang sah untuk mengambil alih sistem korban melalui phishing, mengekspos playbook lengkap threat actor yang mengutamakan stealth melalui legitimasi tool dibanding sophistication teknis.

## Tantangan

Remote Monitoring and Management tools seperti AnyDesk, ConnectWise, dan TeamViewer dirancang untuk memudahkan tim IT mengelola endpoint secara remote. Masalahnya: tool yang sama memberikan akses identik kepada threat actor yang berhasil menginstalnya di mesin korban.

Pendekatan ini semakin populer karena tiga alasan. Pertama, **RMM traffic tidak ditandai sebagai malicious** oleh sebagian besar security stack—tool-nya legitimate, signed, dan dikenal baik oleh EDR. Kedua, **tidak perlu develop custom RAT** yang mahal dan mudah terdeteksi. Ketiga, **persistence bawaan**—RMM tools biasanya auto-start dan survive reboot tanpa perlu registry manipulation.

Kampanye Smoke#Screen menambahkan layer social engineering yang canggih: email phishing dibungkus sebagai invoice atau notifikasi helpdesk, mengarahkan korban ke halaman yang mengunduh RMM installer dengan konfigurasi preset yang langsung terhubung ke command server penyerang.

## Pendekatan

Apa yang membuat Smoke#Screen berbeda dari kampanye RMM abuse sebelumnya?

**Dark Reading** melaporkan bahwa threat actor di balik kampanye ini mendokumentasikan seluruh playbook mereka—dari initial phishing lure hingga post-exploitation lateral movement—dengan presisi yang menunjukkan operasi terorganisir, bukan script kiddie.

Deteksi efektif membutuhkan pendekatan berlapis: monitor instalasi RMM tools yang tidak diotorisasi oleh IT, audit outbound connections dari RMM processes ke server yang bukan milik organisasi, dan implementasi application allowlisting yang hanya mengizinkan RMM tools dari vendor yang secara resmi digunakan.

Untuk tim yang sudah menggunakan RMM secara sah, kunci pembeda adalah **connection destination**—agent RMM legitimate hanya menghubungi relay server vendor resmi, sementara agent yang ditanam attacker menghubungi infrastruktur C2 di luar daftar tersebut.

## Referensi

- [Smoke#Screen RMM Takeover Gambit Exposes Threat Actor Playbook - Dark Reading](https://www.darkreading.com/cyberattacks-data-breaches/latest-rmm-fueled-phishing-attack-exposes-threat-actor-playbook)
- [CISA Advisory: Protecting Against Malicious Use of Remote Monitoring and Management Software](https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-025a)
- [MITRE ATT&CK T1219 - Remote Access Software](https://attack.mitre.org/techniques/T1219/)

---

*Markdown version of https://www.ciptadusa.com/blog/smoke-screen-rmm-phishing-takeover-20260805 — generated for AI agents and LLM crawlers.*