Peneliti di kantor Symantec di Eropa dan Amerika Serikat termasuk yang mendapatkan kode Stuxnet pada bulan Juli dan membuat signatures untuk para pelanggannya. Tapi ketika mereka selesai melakukan ini, malware itu kemudian dikirimkan ke Liam O Murchu di kantor Symantec di Culver City, California.
O Murchu adalah pria asal Irlandia berumur 33 tahun yang gemar bermain snowboard, beraksen Irlandia, dengan potongan rambut cokelat berbentuk vertikal di depan. Sebagai manajer operasi di Symantec Security Response, tugasnya adalah memeriksa ancaman malware yang signifikan untuk memutuskan apakah malware tersebut harus dianalisa lebih dalam.
Dari satu juta lebih file berbahaya yang diterima Symantec dan perusahaan antivirus lainnya tiap bulan, sebagian besar adalah variasi virus dan worm atau cacing yang sudah dikenal. Malware ini langsung diproses secara otomatis tanpa campur tangan manusia. Algoritma mencari file untuk mengungkap string atau perilaku data untuk mengidentifikasi malware, kemudian memproduksi dan mengeluarkan signatures ke pemindai (scanner) antivirus di komputer pelanggan.
Namun, malware yang mengandung exploit zero-day tergolong khusus dan harus diteliti langsung secara manual dengan tangan. O Murchu meneruskan Stuxnet ke insinyur yang tak memiliki pengalaman menangani zero-day, dengan pikiran hal itu merupakankesempatan baik untuk mengajarinya. Tapi ketika dia sendiri memeriksa kode itu, dia menyadari yang dihadapi kali ini lebih rumit dari yang dipikirkannya.
Diperlukan upaya untuk menemukan beberapa lapisan penutup yang mengaburkan exploit zero-day di dalam Stuxnet, dan malware ini tergolong besar, 500 KB, berlawanan dengan malware biasa yang hanya berukuran 10k sampai 15 k. Umumnya malware sebesar ini mengandung file gambar yang memenuhi tempat, seperti halaman online banking palsu yang muncul pada halaman komputer yang terinfeksi untuk menipu pengguna agar mengungkapkan data-data rahasia perbankan mereka. Tapi tak ada gambar semacam itu di Stuxnet, dan tak ada juga file yang tak relevan. Kodenya tampak seperti orkestra data dan perintah yang padat dan efisien.
Ketertarikan O Murchu segera tergelitik.
Perjumpaan pertamanya dengan malware terjadi pada tahun 1996 ketika sesama mahasiswa di College of Dublin membuat virus dengan target jaringan universitas. Pada pertengahan Maret, ratusan terminal di laboratorium komputer sekolah mengunci para siswa sampai mereka bisa menjawab 10 pertanyaan yang muncul di layar mereka. Sebagian besar siswa terganggu atas ketidaknyamanan ini, tapi O Murchu terpesona oleh kode itu dan mengambilnya untuk melihat cara kerjanya. Sudah bawaannya sejak bayi untuk membongkar sesuatu. Saat kecil, dia tipikal anak yang, alih-alih bermain mobil mainan, malah membongkarnya untuk memetakan bagaimana girnya bekerja.
Rasa ingin tahu semacam itulah yang membanya ke dunia keamanan komputer.
Setelah lulus kuliah, O Murchu bekerja sebagai penguji penetrasi di pembuat kios internet asal Amerika Serikat. Dia mencoba menembus dinding pembayaran (payment wall) kios untuk melihat apakah dia bisa mendapatkan akses internet gratis. Perusahaan itu merekrutnya hanya untuk melakukan beberapa tes, tapi O Murchu bersama penguji lain terus dipekerjakan selama tiga bulan karena mereka selalu menemukan cara menembus sistem pembayaran tersebut.
Pada tahun 2002 dia bekerja di perusahaan antispam, yang segera sesudah itu dibeli oleh Symantec. O Murchu akhirnya dipindahkan ke kantor besar Symantec di Culver City, meninggalkan Dublin menuju California Selatan.Ketika Anda sudah pernah melihat virus dan worm sebanyak yang dilihat O Murchu, Anda bisa melihat malware sepintas dan segera tahu jenisnya –yang ini adalah keystroke logger, yang itu adalah Trojan banking- dan apakah ia disusun sembarangan, atau dibuat dengan cermat dan hati-hati. Stuxnet termasuk pada kategori yang terakhir. Ia mengandung beberapa komponen, semua terkotak-kotak ke dalam lokasi berbeda agar fungsinya mudah ditukar dan dimodifikasi sesuai kebutuhan.Namun, yang paling menonjol adalah cara malware itu menyembunyikan fungsi-fungsi itu. Umumnya, fungsi Windows dimuat sesuai kebutuhan dari file DLL yang disimpan dalam hard drive. Akan tetapi, jika malware melakukan hal yang sama, akan menjadi petunjuk atau terdeteksi oleh perangkat lunak antivirus. Sebaliknya, Stuxnet menyimpan file DLL berbahaya yang dienkripsi hanya di dalam memory semacam file virtual dengan nama yang dibuat khusus.Stuxnet kemudian memprogram Windows API –antarmuka antara sistem operasi dan program yang berjalan di atasnya- sehingga tiap kali sebuah program mencoba memuat fungsi dari library dengan nama khusus itu, program tersebut akan mengambilnya dari memori ketimbang dari hard drive.Stuxnet menciptakan generasi file hantu yang sama sekali baru yang tak akan disimpan di hard drive sama sekali, dan karenanya hampir mustahil ditemukan.O Murchu tak pernah melihat teknik tersebut selama menganalisa malware. “Bahkan ancaman sangat rumit yang kami lihat, ancaman canggih yang kami lihat, tak melakukan ini,” katanya.Banyak sekali petunjuk bahwa Stuxnet sangat profesional, dan O Murchu baru memeriksa 5k dari 500k kode. Jelas dia membutuhkan tim untuk menanganinya. Pertanyaannya, haruskah mereka mengatasinya?
Tidak ada komentar:
Posting Komentar