KONSULTASI INTERNET SECURITY
Alfons Tanujaya
Alfons Tanujaya
Alfons Tanujaya aktif mendedikasikan waktu untuk memberikan informasi dan edukasi tentang malware dan sekuriti bagi komunitas IT Indonesia.
Sabtu, 28 Okt 2017 16:55 WIB

Mengenal Bad Rabbit, Si Kelinci Nakal

- detikInet
Foto: Gettyimages Foto: Gettyimages
Jakarta - Setelah Wannacry dan Not Petya, serangan ransomware ketiga yang menggemparkan dunia di 2017 kembali terjadi di Eropa Timur. Tak jauh-jauh, negara utama yang menjadi korban adalah Ukraina dan Rusia. Diketahui, Bad Rabbit menjadi penyebabnya.

Si kelinci nakal yang terdeteksi memakan korban paling banyak di Ukraina dan Rusia sekitar 80 % insiden. Sedangkan sisanya terdeteksi melanda sebagian Eropa Barat.

Amerika Serikat sendiri, yang merupakan pusat lalu lintas internet dunia dan pengakses internet nomor 3 di dunia, hanya mengalami 1% dari insiden Bad Rabbit sampai saat artikel ini ditulis.

Bad Rabbit dibangun dari source code yang sama dengan Petya, namun ia tidak melakukan eksploitasi terhadap celah keamanan seperti yang dilakukan oleh WannaCry dan Petya.

Kesaktian utamanya adalah pada rekayasa sosial di mana ia memalsukan dirinya sebagai update / installer Adobe Flash dan di injeksikan pada situs-situs yang tidak terkonfigurasi dengan aman sehingga pengakses situs yang tidak menyadari hal ini mengira mereka mengunduh Adobe Flash dan menjalankannya.

Setelah berhasil menginfeksi melalui internet, Bad Rabbit memiliki kemampuan dictionary attack simpel pada akun administrator. Jika akun administrator berhasil dikuasai, dia akan menyebarkan dirinya melalui intranet.

Mengenal Bad Rabbit, Si Kelinci Nakal Foto: Getty Images


Penyebaran

Bad Rabbit awalnya disebarkan melalui situs-situs populer seperti situs berita yang berbasis di Rusia. Situs-situs ini diretas dan pengaksesnya diarahkan ke situs utama yang beralamat di 1dnscontrol.com guna mengunduh file malware yang telah dipersiapkan oleh pembuat malware.

Situs utama hanya 1dnscontrol.com, menjalankan aksinya selama sekitar 6 jam sebelum dinonaktifkan karena aktivitas jahatnya. Melihat situs yang diretas berbasis di Eropa Timur, hal ini menjelaskan mengapa infeksi utama terjadi di Eropa Timur dan tidak merata ke seluruh dunia.

Adapun penyebaran ke wilayah di luar Eropa Timur, diperkirakan terjadi karena Bad Rabbit memiliki kemampuan untuk melakukan bruteforce simpel ke dalam jaringan guna mengambil alih akun administrator untuk menyebarkan dirinya.

Adapun bruteforce akan dilakukan berdasarkan daftar kredensial (username atau password) yang telah dipersiapkan dan diperkirakan sering digunakan administrator sebagai kredensial yang populer.

Adapun daftar kredensial yang digunakan untuk melakukan bruteforce adalah sebagai berikut: (username / password).

123
321
777
1234
12345
55555
77777
111111
123321
123456
1234567
12345678
123456789
1234567890
Admin123
admin123Test123
administrator
administrator123
Administrator123
alex
asus
backup
boss
buh
ftp
ftpadmin
ftpuser
good
guest
guest123
Guest123
love
manager
nas
nasadmin
nasuser
netguest
operator
other user
password
qwe
qwe123
qwe321
qwer
qwert
qwerty
qwerty123
rdp
rdpadmin
rdpuser
root
secret
sex
superuser
support
test
test123
uiop
user123
user123
work
zxc
zxcv
zxcv123
zxcv321

Belajar dari daftar di atas, para pengguna komputer disarankan untuk menghindari kredensial-kredensial lemah yang meskipun terlihat rumit, namun dalam kenyataannya ternyata merupakan kunci yang berurut pada keyboard seperti qwerty, zxcv321, uiop dan user123.

Rahasia keberhasilan penyebaran Bad Rabbit adalah pada rekayasa sosialnya memalsukan diri sebagai update/installer Adobe Flash yang memang populer digunakan pada situs guna menampilkan media yang menarik dan interaktif. Aksinya menginjeksi situs berita populer Rusia juga menjawab mengapa penyebaran tertinggi terjadi di Rusia dan Eropa Timur.

Saat ini, ancaman yang perlu dikhawatirkan oleh pengguna komputer dari negara lain adalah ancaman melalui intranet dari SMB (file sharing) di mana jika ada komputer yang terinfeksi Bad Rabbit, akan mencoba menyebarkan dirinya ke jaringan menggunakan daftar kredensial seperti di atas.

Mengenal Bad Rabbit, Si Kelinci Nakal Foto: Getty Images


Motif penyerang dan antisipasi

Kali ini, pembuat Bad Rabbit memberikan sedikit hiburan di mana proses Task Schedule yang digunakan untuk mengaktifkan malware menggunakan nama-nama karakter naga pada film seri populer Game of Thrones seperti Drogon, Viserion dan Rhaegal.

Melihat besarnya jumlah tebusan yang diminta, yakni sekitar USD 300 (Rp 4 jutaan) dan keriuhan yang ditimbulkan, kemungkinan ransomware ini tidak memiliki tujuan utama mendapatkan uang. Dia ingin menciptakan sedikit kekacauan atau 'mungkin' serangan balik.

Bad Rabbit tidak seperti namanya dan tidak sejahat Petya yang akan melumpuhkan sistem yang diinfeksinya. Dia 'hanya' akan mengenkripsi data penting komputer yang menjadi korbannya dan sistem komputer tetap akan berjalan seperti biasa.

Sebagai gambaran, jika yang menjadi korban adalah komputer pengatur lalu lintas, pengatur mesin atau penyalur listrik, Bad Rabbit tidak sampai menyebabkan kekacauan terhentinya layanan seperti yang diakibatkan oleh Petya di Ukraina.

Adapun motif penyerang belum diketahui. Saat ini, aksi Bad Rabbit secara online dapat dikatakan sudah sangat rendah karena mayoritas server yang digunakan untuk menyebarkan dirinya sudah dinonaktifkan (baik atas permintaan praktisi sekuriti maupun dinonaktifkan sendiri oleh pembuatnya).

Jika melihat dari banyaknya korban di Eropa Timur khususnya Rusia dan Ukraina, kemungkinan aksi Bad Rabbit ini berhubungan dengan krisis Ukraina dengan Rusia. Seperti kita ketahui, ransomware Petya disinyalir merupakan serangan Rusia untuk mengerjai Ukraina. Terlihat dari korban terbesar Petya adalah kalangan pemerintah dan bisnis Ukraina.

Kali ini, yang menjadi korban terbesar adalah pihak Rusia dan korban dari wilayah lain kemungkinan adalah imbas tidak langsung dari serangan ini. Namun sampai saat ini aktor di balik serangan ransomware ganas seperti Wannacry, Petya dan Bad Rabbit tetap menjadi misteri.

Melihat hal di atas, kemungkinan Bad Rabbit menyerang Indonesia sangat kecil. Sebagai gambaran, Amerika Serikat sebagai pusat server internet dunia yang biasanya selalu menjadi korban terbesar mayoritas malware, pada kasus Bad Rabbit ini 'hanya' mendapatkan imbas sangat kecil, kurang dari 3% dari total korban Bad Rabbit di seluruh dunia.

Jadi, Indonesia yang bukan pusat internet dunia akan mendapatkan ancaman yang jauh lebih kecil. Kemungkinan infeksi langsung bisa terjadi jika saat Bad Rabbit mengganas (6 jam), ada pengguna internet Indonesia yang mengakses situs berita Eropa Timur (Rusia) yang terinjeksi.

Selain itu, resiko infeksi yang bisa terjadi adalah jika pada komputer jaringan ada yang terinfeksi Bad Rabbit, maka ia akan mencoba menyebarkan dirinya melalui SMB dengan koleksi kredensial yang telah dipersiapkan.

Namun kabar baiknya, Bad Rabbit tidak mengeksploitasi celah keamanan sehingga kemampuan penyebaran sebagai worm juga sangat rendah dan terbatas pada koleksi kredensial yang digunakannya untuk bruteforce.

Untuk mencegah komputer Anda dari infeksi malware, terutama ransomware, Vaksincom menyarankan untuk selalu mengupdate software secara otomatis, melindungi siste dengan perlindungan security yang baik dan memiliki fitur anti ransomware serta tetap melakukan backup data penting Anda dengan disiplin.

Catatan: Artikel ini merupakan analisa Vaksincom dari berbagai sumber terpercaya seperti TalosIntelligence.com. (Penulis: Alfons Tanujaya/rns)
-
Load Komentar ...

Redaksi: redaksi[at]detikinet.com
Informasi pemasangan iklan
Hubungi: sales[at]detik.com
News Feed