Pada 17 Juni 2010, Sergey Ulasen sedang berada di kantornya memilah-milah e-mail ketika sebuah berita menyita perhatiannya. Satu unit komputer milik seorang pelanggan di Iran terjebak dalam reboot loop –mati dan hidup berulang kali meskipun operator berupaya mengendalikannya. Tampaknya mesin itu diinveksi oleh virus.
Ulasen mengepalai divisi antivirus di sebuah perusahaan kecil bidang keamanan komputer di Minsk bernama VirusBlokAda. Segera sesudah ada cabang khusus dari ilmu komputer, keamanan komputer telah tumbuh menjadi industri multimiliar dollar dalam dekade terakhir sejalan dengan meledaknya serangan hacker yang canggih dan terus berkembangnya virus, Trojan horses, dan program spyware.
Para ahli keamanan terbaik, seperti Bruce Schneier, Dan Kaminsky, dan Charlie Miller dianggap sebagai bintang rock di antara rekan-rekan mereka, dan perusahaan ternama seperti Symantec, McAfee, dan Kaspersky telah menjadi nama keluarga, melindungi segalanya, dari laptop nenek sampai jaringan militer sensitif.
Namun, VirusBlokAda bukan bintang rock atau nama keluarga. Ia perusahaan tak jelas sehingga bahkan hanya sedikit orang-orang di industri keamanan yang pernah mendengarnya. Tapi hal itu segera berubah.
Tim peneliti Ulasen menangkap virus yang menginfeksi komputer klien mereka dan menyadari bahwa virus itu menggunakan “zero-day” sebagai medium untuk menyebar. Zero-day adalah senjata paling ampuh di dunia hacker: Mereka memanfaatkan kerentanan di dalam perangkat lunak yang belum diketahui oleh pembuat perangkat lunak atau vendor antivirus.
Zero-day juga tergolong sangat langka karena dibutuhkan keterampilan dan ketekunan besar untuk mencari dan mengeksploitasinya. Dari 12 juta lebih malware yang ditemukan peneliti antivirus tiap tahun, kurang dari selusin yang menggunakan exploit zero-day. (exploit adalah sebuah kode yang menyerang keamanan komputer secara spesifik. Exploit banyak digunakan untuk penentrasi baik secara legal ataupun ilegal untuk mencari kelemahan pada komputer tujuan. Bisa juga dikatakan sebuah perangkat lunak yang menyerang kerapuhan keamanan yang spesifik namun tidak selalu bertujuan untuk melancarkan aksi yang tidak diinginkan. Banyak peneliti keamanan komputer menggunakan exploit untuk mendemonstrasikan bahwa suatu sistem memiliki kerapuhan).aS7tgtopx_exe:
unicode 0, ,0
align 4
aSystemrootInf_:
unicode 0, <%SystemRoot%\inf\*.pnf>,0
align 4
aSystemrootInfM:
unicode 0, <%SystemRoot%\inf\mdmeric3.PNF>,0
aSystemrootIn_0:
unicode 0, <%SystemRoot%\inf\mdmcpq3.PNF>,0
align 10h
aSystemrootSyst:
unicode 0, <%SystemRoot%\system32\Drivers\mrxcls.sys>,0
align 8
aSystemrootSy_0:
unicode 0, <%SystemRoot%\system32\Drivers\mrxsmb.sys;%SystemRoot%\sys>
unicode 0, ,0
align 8
aSystemrootSy_1:
unicode 0, <%SystemRoot%\system32\Drivers\mrxnet.sys>,0
align 4
aMrxcls:
unicode 0, ,0
align 10h
aSystemCurrentc:
unicode 0, ,0
align 4
unicode 0, <\>,0
aImagepath:
unicode 0, ,0
a_sys:
unicode 0, <.sys>,0
align 4
a??:
unicode 0, <\??\>,0
align 4
aGlobalWkssvcsh:
unicode 0, ,0
align 10h
aGlobalSpooler_:
unicode 0, ,0
align 8
aSpooler_perf_l:
unicode 0, ,0
align 10h
aGlobal5ec171bb:
unicode 0, ,0
align 10h
aGlobalCaa6bd26:
unicode 0, ,0
align 10h
aGlobal4a9a9fa4:
unicode 0, ,0
align 10h
aGlobalE41362c3:
unicode 0, ,0
align 10h
aGlobal85522152:
unicode 0, ,0
align 10h
aGlobalB2fac8dc:
unicode 0, ,0
align 10h
dd 1, 3, 2 dup(0)
dd 1, 0
dd 2, 2 dup(0)
dd 3, 2, 4F0053h, 540046h, 410057h, 450052h, 53005Ch, 450049h
dd 45004Dh, 53004Eh, 57005Ch, 6E0069h, 430043h, 53005Ch
dd 740065h, 700075h, 0
aStep7_version:
unicode 0, >,0
aSoftwareSiemen:
unicode 0, <SOFTWARE\SIEMENS\STEP7>,0
align 8
aSoftwareMicr_4:
unicode 0,
unicode 0, ,0
align 10h
aNtvdmTrace:
unicode 0, ,0
dd offset dword_100335D8+0CA4h
dd offset dword_10001000+9Fh
dd offset dword_10008B7C+11DDh
dd offset dword_10008B7C+11E1h
dd offset dword_10008B7C+11E5h
dd 7574732Eh, 62h, 3Ah, 4D002Eh, 500043h, 0
dd 5037532Eh, 0
aStgopenstorage db 'StgOpenStorage',0
align 4
aOle32_dll db 'ole32.dll',0
align 4
aCcprojectmgr_e db 'CCProjectMgr.exe',0
align 4
aMsvcrt_dll db 'msvcrt.dll',0
align 4
aMfc42_dll db 'mfc42.dll',0
align 4
aCreatefilea db 'CreateFileA',0
aKernel32_dll db 'kernel32.dll',0
align 10h
aS7apromx_dll db 's7apromx.dll',0
align 10h
Dalam kasus ini, pelaku memungkinkan virus secara cerdik menyebar dari satu komputer ke komputer lainnya melalui stik USB yang terinfeksi. Kerentanan itu ada di file LNK Windows Explorer, satu komponen penting dari Microsoft Windows. Ketika stik USB terinfeksi dimasukkan ke dalam sebuah komputer, sebagaimana Explorer otomatis memindai isi stik, kode yang dimanfaatkan itu terbangun dan secara diam-diam menjatuhkan file berukuran besar yang sebagian besar telah dienkripsi ke dalam komputer, seperti pesawat pengangkut menjatuhkan prajurit kamuflase ke wilayah sasaran.
Jika ditinjau kembali tampak jelas bahwa ini adalah exploit cerdik, karena ia menyerang fungsi yang ada di mana-mana. Itu juga salah satu, hikmah yang diambil para peneliti dari keterkejutan mereka, yang sudah pernah digunakan sebelumnya.
VirusBlokAda menghubungi Microsoft untuk melaporkan kerentanan, dan pada 12 Juli, ketika raksasa perangkat lunak itu menyiapkan patch, VirusBlokAda mengumumkan temuan ini dalam sebuah posting di forum keamanan. Tiga hari kemudian, blogger keamanan Brian Krebs mengangkat cerita tersebut, dan perusahaan antivirus di seluruh dunia bergegas mengambil contoh malware yang disebut Stuxnet oleh Microsoft dari kombinasi nama file (.stub dan MrxNet.sys) yang ditemukan di kode tersebut.
Ketika industri keamanan komputer bergemuruh mengambil tindakan, pemecahan dan pembongkaran Stuxnet, lebih banyak penilaian yang dikeluarkan.
Dikeluarkan juga kode Stuxnet yang diluncurkan ke alam bebas pada awal tahun sebelumnya, pada Juni 2009, dan pembuat misteriusnya telah memperbarui dan menyempurnakannya berkali-kali, dengan merilis tiga versi berbeda. Terutama, salah satu file driver virus menggunakan sertifikat keamanan sah yang dicuri dari RealTek Semiconductor, pembuat perangkat keras dari Taiwan, untuk mengelabui sistem agar berpikir bahwa malware tersebut adalah program terpercaya dari RealTek.
Otoritas internet secara cepat mencabut kembali sertifikat tersebut. Tetapi driver Stuxnet yang lain ditemukan menggunakan sertifikat kedua, yang dicuri dari JMicron Technology, pembuat sirkuit dari Taiwan yang -secara kebetulan atau tidak- berkantor pusat di areal bisnis yang sama dengan RealTek. Apakah penyerang penyerang merusak secara fisik perusahaan untuk mencuri sertifikat keamanan? Atau apakah mereka meretas dari jauh untuk menggesek kunci digital tanda sertifikat perusahaan? Tak ada yang tahu.
“Kami sangat jarang melihat operasi profesional semacam itu,” tulis ESET, perusahaan keamanan yang menemukan salah satu sertifikat, dalam blog mereka. “Ini menunjukkan (para penyerang) memiliki sumber daya yang besar.”
Di sisi lain, Stuxnet terlihat biasa saja dan tidak ambisius dalam mencapai tujuannya. Para ahli menyimpulkan bahwa virus tersebut dirancang untuk menargetkan perangkat lunak Simatic WinCC Step7, sistem pengendalian industri buatan perusahaan Jerman, Siemens yang digunakan untuk pengendali program yang menjalankan motor, katup dan sakelar dalam segala hal mulai dari pabrik makanan dan perakitan mobil sampai jaringan pipa gas dan pabrik pengolahan air.
Meskipun ini hal baru –sistem pengendali bukan sasaran hacker tradisional, karena tak ada keuntungan finansial meretasnya- apa yang dilakukan Stuxnet terhadap sistem Simatic bukan hal baru. Tindakan itu tampaknya hanya bertujuan untuk mencuri konfigurasi dan data rancangan dari sistem, kemungkinan untuk memungkinkan pesaing meniru tata letak produksi pabrik. Stuxnet tampak seperti kasus spionase industri lainnya.
Perusahaan antivirus menambahkan tandatangan untuk bermacam versi malware ke mesin pendeteksi mereka, dan kemudian sebagian besar perusahaan beralih ke persoalan lainnya. Cerita tentang Stuxnet mungkin berakhir begitu saja. Namun beberapa peneliti tidak cukup siap untuk melepaskannya.
Tidak ada komentar:
Posting Komentar