Tak ada pihak yang akan menyalahkan Symantec jika meninggalkan Stuxnet pada titik ini dan beralih ke hal lainnya. Tugas utama setiap perusahaan antivirus adalah mendeteksi –menghentikan infeksi sebelum terjadi dan membersihkan sistem yang telah terinfeksi file berbahaya. Apa yang dilakukan malware setelah itu di komputer korbannya tidak terlalu penting.
Tapi Symantec merasa memiliki kewajiban untuk memecahkan teka-teki Stuxnet demi pelanggannya. Lebih dari itu, Stuxnet agaknya terlalu rumit dan canggih kalau hanya untuk spionase belaka. Ini adalah teka-teki yang besar yang menantang, dan O Murchu ingin memecahkannya.
"Segala sesuatu yang di dalamnya hanya membuat Anda berdiri dan pergi, ini sesutu yang perlu ditelisik ke dalam,” katanya.
Pada waktu O Murchu selesai menganalisa kode tersebut, ketika itu akhir hari Jumat, jadi dia mengirimkan hasil analisa terbaru ke peneliti Symantec di Tokyo. Symantec punya laboratorium di Eropa, Amerika Serikat dan Jepang, sehingga peneliti di zona waktu yang berbeda selalu tersedia mengatasi ancaman penting, membaginya satu sama lain seperti tim pegulat ketika matahari terbenam di kantor yang satu dan terbit di kantor yang lain.
Tim Tokyo mengabiskan akhir pekan itu untuk memetakan komponen-komponen Stuxnet sehingga mereka tahu sedang berhadapan dengan apa. Pada hari Senin, O Murchu kembali mengambil alih pekerjaan yang ditinggalkan Tim Tokyo, diikuti oleh Eric Chien, direktur teknik Symantec Security Response, dan Nicolas Falliere, senior software engineer and code analyst di Symantec cabang Paris.
Mereka memastikan bahwa tiap kali Stuxnet menginfeksi sistem, ia “menelepon rumah” ke salah satu dari dua domain -www.mypremierfutbol.com dan www.todaysfutbol.com yang dijalankan pada server di Malaysia dan Denmark- untuk melaporkan informasi tentang mesin yang terinfeksi. Laporan ini mencakup alamat IP internal dan eksternal mesin, nama komputer, versi dan sistem operasi dan apakah perangkat lunak Siemens Simatic WinCC Step7 -yang juga dikenal sebagai Step7- terpasang di mesin tersebut. Server pengendali membiarkan para penyerang memperbarui Stuxnet di mesin yang terinfeksi dengan fungsi baru atau bahkan memasang lebih banyak file berbahaya di sistemnya.
Penyedia DNS untuk dua domai itu sudah mematikan lalu lintas (traffic) masuk untuk mencegahnya dari jangkauan para penyerang. Symantec punya ide yang lebih bagus. Mereka menghubungi penyedia DNS tersebut dan membujuknya untuk mengubah rute seluruh lalu lintas ke sebuah lubang pembuangan atau sinkhole – dalam kasus ini, sebuah komputer yang didedikasikan untuk menerima lalu lintas para penyerang –yang dikendalikan Symantec.
Pada Selasa pagi, Symantec mengetahui bahwa salah satu mesin terinfeksi oleh Stuxnet. Symantec berbagi data dengan perusahaan keamanan yang lain.
Dalam waktu seminggu setelah membuat sinkhole, sekitar 38.000 mesin dilaporkan terinfeksi dari puluhan negara. Tak lama kemudian, jumlahnya melebihi 100.000. Stuxnet menyebar dengan cepat, meskipun perusahaan keamanan telah menyebarluaskan signatures untuk menghentikannya.
Ketika Chien dan O Murchu memetakan lokasi geografis infeksi itu, muncul pola aneh. Dari 38.000 infeksi, sekitar 22.000 berada di Iran. Indonesia yang berada di posisi kedua terpaut jauh dengan 6.700 infeksi, diikuti India dengan 3.700 infeksi, Amerika Serikat kurang dari 400. Hanya sedikit jumlah mesin yang meng-install perangkat lunak Siemens Step 7 –hanya 217 mesin di Iran dan 16 di Amerika Serikat.
Jumlah infeksi ini berbeda dengan pola infeksi di seluruh dunia yang terjadi sebelumnya –seperti yang terjadi pada serangan cacing Conficker- dimana Iran tak pernah di posisi atas dalam statistik infeksi. Korea Selatan dan Amerika Serikat selalu di posisi teratas dalam kasus-kasus besar, bukan hal aneh karena kedua negara itu memiliki jumlah pengguna internet paling banyak. Tapi meski kasus besar yang berpusat di Timur Tengah atau Asia Tengah, Iran tak pernah berada di posisi atas. Jadi, jelas bahwa Iran merupakan pusat infeksi Stuxnet.
Kecanggihan kode, ditambah sertifikat keamanan palsu, dan sekarang Iran menjadi korban utama membuat Stuxnet terlihat bisa jadi merupakan ulah cyberarmy –bahkan mungkin cyberarmy Amerika Serikat.
Dengan demikian, pembuatan sinkhole oleh Symantec merupakan langkah berani. Saat menyadap data yang akan diterima para penyerang, para peneliti berisiko merusak operasi rahasia Pemerintah Amerika Serikat. Ketika ditanya apakah mereka khawatir mengenai hal ini, Chien menjawab, “Bagi kami tak ada orang baik atau orang jahat,” katanya lalu berhenti sejenak untuk berpikir. “Orang jahat adalah orang yang menulis kode berbahaya yang menginfeksi sistem yang bisa menimbulkan konsekuensi tak diinginkan atau konsekuensi yang diinginkan.”
Apakah orang jahatnya adalah Amerika Seikat atau salah satu sekutunya, serangan itu telah menimbulkan kerusakan parah terhadap ribuan sistem, dan Symantec merasa tak ada tugas patriotisme untuk mengamankan aktivitas Stuxnet. “Kami tidak terikat pada satu bangsa. “Kami multinasional, perusahaan swasta yang melindungi pelangganya.”
Waktu terus berlalu. Seluruh peneliti mengetahui pada saat ini Stuxnet telah memiliki pijakan di lebih dari 100.000 komputer, dan mereka tak tahu apa yang dilakukan Stuxnet terhadap komputer-komputer itu.
“Untuk berapa lama kami berpikir, yah, mungkin Styxnet hanya menyebar di Iran karena mereka tak punya perangkat lunak keamanan yang terkini, dan bahwa ketika masalah ini terjadi di Amerika Serikat, beberapa pabrik pengolahan air atau sistem kendali kereta api atau apa pun bisa terpengaruh,” kata Chien. “Jadi, sungguh, kami mencoba mencari tahu, dengan kekuatan penuh, apa sebenarnya dampak hal ini?”
Tidak ada komentar:
Posting Komentar