Jul Ismail

Saya akan lanjutkan share beberapa materi presentasi. Kali ini presentasi dari LAC tentang APT Target Critical Infrastructure. LAC adalah perusahaan yang menyediakan layanan keamanan jaringan di Jepang. Beberapa layanan yang disediakan adalah penanganan insiden, pelatihan/drill, konsultasi, SOC, Penetration test, penanganan APT dan R&D. LAC melaporkan beberapa kasus serangan cyber dan APT (Advance Persistence Threat) di Jepang sebagai berikut:

• Januari 2010: Operation Aurora
• September 2011: Serangan pada beberapa sektor industri
• Oktober 2011: Serangan pada DIET (Parlemen di Jepang)
• Januari 2013: Kebocoran dokumen rahasia tentang kerjasama TPP (Trans Pasific Partnership) pada
• Ministry of Agriculture, Forestry and Fisheries
• September 2013: Serangan malware Daserf
• September 2013: Serangan Watering hole memanfaatkan celah keamanan Zero-Day pada Internet Explorer
• Januari 2014: Serangan pada reaktor nuklir Monju dan National Career Center. Server yang menyediakan Update GOM Player dibobol dan digunakan untuk menyebarkan malware.
• Juni 2015: Malware Emdivi digunakan untuk menyerang layanan Japan Pension Service. 1,25 juta data pengguna dibocorkan
• Juni 2016: serangan pada sebuah travel agen di Jepang, sekitar 7,93 juta data pengguna dibocorkan

Daserf

Selanjutnya dilaporkan tentang malware Daserf (bukan Tb.Dasep :) ) Malware ini banyak ditemukan pada infrastruktur vital di Jepang yaitu sebanyak 56%. Terutama di sektor energi, perhubungan, pelayanan publik, IT, transportasi dan industri. Serangan Daserf diduga mulai terjadi pada bulan januari 2013, dan mulai terdeteksi pada bulan april 2013. Malware Daserf ini dideteksi ketika dilakukan analisa dan monitoring terhadap log jaringan.

Kali ini saya mau share presentasi MY-CERT tentang protecting CNII against malware. CNII adalah singkatan Critical National Information infrastructure. Maksudnya CNII adalah infrastruktur penting (vital) yang berada di berbagai macam sektor seperti:

• Informasi & komunikasi
• pertahanan,
• perbankan,
• keuangan,
• Energi
• Transportasi
• Jaringan distribusi Air
• Kesehatan
• Pemerintahan
• Penanganan bencana
• Makanan dan pertanian

Sejak tahun 80-an sampai sekarang, serangan cyber telah berevolusi. Pada tahun 80-an serangan cyber memiliki kemampuan dimulai dari:

• menebak password,
• menggandakan diri
• membobol password
• mematikan fungsi audit log
• pencurian data
• dan memasang backdoor

Sementara itu pada awal tahun 90-an malware berkembang memiliki kemampuan sebagai berikut:

• mengeksploitasi celah keamanan
• sweeper (mencari celah keamanan banyak komputer secara otomatis)
• sniffing (penyadapan)
• hijacking session (mencuri sesi)
• packet spoofing (memalsukan paket data)
• mulai muncul tools hacking yang memiliki GUI
• tools hacking yang dapat melakukan analisa jaringan
• Denial of service
• Serangan terhadap web secara otomatis
• Memiliki teknik stealth scanning (tidak dapat dideteksi firewall)

Kemudian tahun 2000-an mulai muncul teknik penyerangan sebagai berikut:

• tools serangan secara terdistribusi
• cross site scripting
• Serangan secara bertahap
• menggunakan bot

Tentang evolusi malware dan serangan cyber ini selengkapnya bisa dilihat pada tulisan berikut: Cyber-Attack Sophistication over Time (Lipson, 2012).  Akhir-akhir ini mulai muncul serangan malware terhadap infrastruktur vital. Contohnya:

1. Serangan terhadap instalasi listrik di Ukraina (2015). Serangan ini membuat listrik di beberapa daerah di Ukraina pada selama beberapa waktu. Selengkapnya dapat dilihat pada halaman berikut ini.
2. Serangan terhadap instalasi power grid di Amerika. Serangan ini diduga menimbulkan kerugian mencapai $1 trilliun. Dapat dilihat pada halaman berikut
3. Serangan terhadap jaringan komputer Polisi di Newark (2016). Serangan ini membuat jaringan komputer disana mati selama 3 hari. Jaringan komputer ini digunakan polisi untuk melacak dan menganalisa data kejahatan.
4. Serangan terhadap sistem radar di Swedia (2015). Serangan ini melumpuhkan sistam air traffik control disana selama beberapa hari. Akibatnya ratusan penerbangan harus ditunda.

My-Cert melaporkan di Malaysia pada tahun 2016 juga terjadi peningkatan kasus infeksi malware dan botnet drone. Kemudian disampaikan laporan Fireeye tentang 10 malware APT paling berbahaya tahun 2013:

• Backdoor APT DarkComet
• Backdoor APT Gh0stRat
• Backdoor APT Lv
• Backdoor APT Extreme Rat
• Backdoor APT Kaba
• Backdoor APT SpyNet
• Backdoor APT 9002
• Trojan APT Taidoor
• Backdoor APT Fertger
• Backdoor APT Page

Selanjutnya disampaikan tentang laporan Kaspersky IT Security Risk Survey 2014. Untuk menangani ancaman ini My-Cert telah membuat sebuah sistem koordinasi riset malware. Saat ini ada banyak pihak yang telah berpartisipasi diantaranya: Brunei CERT, Alliacom France, Telekom Malaysia, Universiti Teknikal Malaysia, University Putra Malaysia dan AIMS. Pada tahun 2016 ini ancaman malware yang terdeteksi oleh sistem ini adalah:

• Worm 47,5%
• Backdoor 40,4%
• Trojan 10,2%
• Downloader & Dropper 0,8%
• Ransomware 0,7%
• Browser modifier, dll

Malware-malware tersebut terdeteksi melakukan koneksi ke server C&C ke negara-negara berikut:

• Inggris 41%
• Amerika Serikat 12%
• Belanda 12%
• Kanada 5%
• Portugal 5%
• Singapur 4%
• Jerman 4%
• dll

Hasil analisa malware ditemukan bahwa:

• 67% malware menyerang sistem operasi Windows. Malware terbanyak pada Windows yang ditangkap adalah backdoor. Androm 62%. Jenis malware windows terbanyak adalah Backdoor 62%, Trojan 23% dll.
• 20% menyerang Mac OS X, Linux, dan os lainnya. Kategori terbanyak adalah trojan 52% dan adware 19%. Malware paling banyak ditangkap pada OS ini adalah trojan generik 22%

Selain itu dilaporkan juga dari malware yang berhasil ditangkap sistem ini, 67% menyerang PC dan 12% menyerang perangkat mobile. Dengan rincian 87% malware Android dan 12% malware pada IoS. Malware Android terbanyak yang ditemukan adalah:

sementara malware IoS terbanyak adalah  XcodeGhost 96% dan iOS.Malware.AceDeceiver. Sementara itu untuk serangan web hasil laporannya, serangan terbanyak  adalah:

Sementara itu ditemukan juga beberapa website yang menyebarkan malware. Dengan data jenis malwarenya adalah:

Semoga Bermanfaat!

Kali ini saya mau share presentasi dari TW-CERT tentang IoT Thread and Botnet. Internet of Things saat ini sedang jadi tema perbincangan yang hangat. Contoh terbaru adalah Mirai Botnet yang membobol ribuan IP Camera untuk melakukan serangan DDoS. Menurut prediksi dari Gartner tahun 2020 nanti akan ada sekitar 20 billion perangkat IoT yang terhubung ke internet.

Untuk menemukan perangkat IoT , saat ini telah ada layanan search engine Censys dan Shodan. Menurut TW-CERT menggunakan shodan kita dapat menemukan ada 108 perangkat IoT di Taiwan. Perangkat-perangkat ini menyediakan berbagai layanan diantaranya http, dns, https dll. TW-CERT juga menangkap berbagai trafik serangan yang berasal dari perangkat IoT. Dari honeypot yang ada di TW-CERT ditangkap beberapa kombinasi username dan password yang digunakan untuk melakukan cracking password pada IoT:

• root/!@
• user/
• support/
• root/root
• admin/admin
• admin/
• user/user
• support/support
• ubnt/ubnt
• ubnt/
• guest/
• pi/raspberry
• admin/password

Yang di bold adalah kombinasi username/password default pada perangkat IoT tersebut. Sejak 2013 TW-CERT juga telah menangkap 100.000 serangan yang berasal dari perangkat IoT, serta menangkap sekitar 1000 sampel malware dari perangkat IoT. Serangan dilakukan dari berbagai platform seperti ARM, PowerPC, MIPS dll. TW-CERT kemudian mencoba melakukan scanning Antivirus terhadap malware-malware tersebut. Hasilnya ternyata sekitar 50% sampel malware tidak dapat dideteksi oleh antivirus.  Malware-malware ini umumnya dapat terhubung ke server C&C (Command and control) dan dapat melakukan serangan DDoS. Beberapa contoh sampel malware yang ditemukan:

TW-CERT kemudian bercerita tentang salah satu kasus botnet IoT yang pernah ditangani, Zollard Botnet. Botnet ini menggunakan protokol P2P. Serangan yang dilakukan adalah dictionary attack (sebanyak 3969 kasus), serta memanfaatkan 4 macam exploit pada php-cgi (sebanyak 780 kasus). Botnet ini menyerang 6 jenis platform yaitu armeabi, arm, ppc, mips, mipsel dan x86. Terdapat 71148 bot yang tergabung pada botnet ini.

Dictionary attack digunakan dengan menggunakan 14 kombinasi username dan password, yaitu:

• root/ ; dreambox;root;vizxv; admin; stemroot
• Sysadmin/Superuser;
• Admin/ ;admin; 1234;12345;1111;smcadmin;
• mysql/123456

Exploit yang digunakan memanfaatkan 4 celah keamanan pada php-cgi, yaitu:

Bahan bacaan:

The Internet of Things and Humans as Sensors

https://en.wikipedia.org/wiki/SCADA

https://www.skillshub.com/bespoke-elearning/reality-behind-e-learning-hype/