Malware bersertifikat menyamar sebagai file DOC

Memang bukan hal baru sebuah malware menggunakan sertifikat resmi. Kali ini saya menemukan sebuah file executable dengan icon mirip file Microsoft Word. Tadinya diduga ini hanyalah sebuah worm yang umum yang banyak ditemui yang menyaru atau menyamar sebagai file DOC. Namun ternyata setelah ditelusuri lebih lanjut file tersebut dalam keadaan bertandatangan (signed).

Dari file properties terlihat file tersebut ditanda-tangani menggunakan sertifikat yang dikeluarkan untuk sebuah perusahaan di Korea.

Berdasarkan histori dari Virus Total, file ini sudah empat kali di upload dan kesemuanya berasal dari Korea dengan nama “MyInfo.doc.exe” dan "C$$DOCUME~1$ROOTAD~1$LOCALS~1$Temp$~00C.tmp_X".

File tersebut ditanda-tangani pada tanggal 11 Juni 2012 22:05:20, informasi dari file header pun mengatakan ia dibuat pada tanggal yang sama 11 Juni 2012 14:54:54, kurang lebih dua bulan yang lalu. Memang informasi dari file header belum tentu akurat karena bisa dengan mudah dipalsukan.

The DOC File 

File tersebut dibuat menggunakan Microsoft Visual C++ dan tidak di-pack. Ia memiliki 4 sections, dan pada section .data terlihat sebuah magic number yang familiar – 0xD0CF11E0 atau juga dikenal dengan "docfile".

 

Saat malware tersebut dieksekusi ia akan meng-extract file DOC tersebut dengan nama MyInfo.doc (sesuai dengan nama awal) pada direktori yang sama dan membuka file dokumen itu. Pada Microsoft Word terlihat dokumen tersebut merupakan sebuah resume atau curriculum vitae seseorang.

File Components

Selain meng-extract file .doc, MyInfo.doc.exe juga akan men-drop dua file lainnya pada direktori khusus yakni "C:\tmp".  Berikut adalah daftar file selengkapnya:

File DaumCleans.exe di-extract dari dalam tubuh MyInfo.doc.exe yang terdapat pada section .data dan dalam kondisi ter-encrypt menggunakan enkripsi berbasis xor dan subtitusi.

Menariknya, sama seperti halnya pada dropper, file ini juga ditandatangani, dan menggunakan sertifikat yang diperuntukan untuk perusahaan yang berbeda, yang setelah ditelusuri juga mengarah kepada sebuah perusahaan di  Korea yang ditanda-tangani pada 27 ‎April ‎2012 12:33:05, sementara dari file header terlihat bahwa file tersebut kemungkinan dibuat pada tanggal 06 March 2012 11:20:28.

Sementara untuk file kernel.dll memang merupakan file DLL namun dalam keadaan ter-enkripsi. File ini akan dibahas selanjutnya.

Executions

Saat dropper berhasil dijalankan dan berhasil meng-extract beberapa file dari dalam dirinya, ia akan menghapus dirinya sendiri dengan berpindah ke direktori temp mengunakan nama temporary lalu kemudian kembali memanggil perintah MoveFileEx dengan menggunakan flag MOVEFILE_DELAY_UNTIL_REBOOT. Setelah itu file pertama yang berhasil di-drop, DaumCleans.exe, akan dieksekusi.

DaumCleans.exe saat dijalankan akan membuat sebuah mutex yakni "mark02" sebagai penanda kehadirannya. Setelah itu akan membuat autorun dengan membuat entri baru di Registry dengan nama "WarHead" pada key:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\

Contacting Server

Saat DaumCleans.exe dieksekusi ia akan menghubungi beberapa C&C server menggunakan port 80 dan mencari mana yang aktif, diantaranya adalah:

• war.winxps.com 
• war.webok.net 
• war.eatuo.com

Ketiga host tersebut berada pada IP yang sama: 61.111.3.45.

Perintah API Windows send and recv digunakan untuk berkomunikasi dengan server. Pertama ia akan mengirimkan pesan "Password:". Jika ia berhasil terkoneksi dan server mengirimkan password yang diminta, maka password atau key tersebut akan disimpan untuk kemudian digunakan nantinya untuk men-decrypt file kernel.dll.

Kernel.dll Decryption

Saat artikel ini ditulis, malware tidak dapat berkomunikasi dengan server tersebut sehingga tidak ada data yang berhasil kami dapatkan. Berikut ini adalah algoritma yang digunakan malware tersebut untuk men-decrypt file kernel.dll:

Dengan menggunakan bahasa tingkat tinggi, kita bisa menuliskannya seperti ini:

Buffer[i] := AnsiChar(((((Ord(Buffer[i]) xor Ord(Key[1])) - Ord(Key[2])) xor Ord(Key[3])) + Ord(Key[4])) xor KeyLength);

Seperti yang terlihat pada rutin di atas, untuk men-decrypt file kernel.dll, rutin tersebut paling tidak membutuhkan password sepanjang 4 karakter, walaupun bisa saja password aslinya lebih dari 4 karakter.

Untuk itu yang bisa kita lakukan sekarang adalah dengan melakukan brute-force untuk mendapatkan kunci yang tepat, paling tidak untuk mendapatkan 4 karakter pertama. Sementara untuk panjang key kita bisa mencoba segala kemungkinan, misalkan mulai dari 4 hingga 10.

Berikut ini tampilan file kernel.dll dalam kondisi ter-encrypt:

Untuk melakukan brute-force kita juga harus mengetahui kondisi tertentu karena jika tidak program brute-force kita tidak akan pernah berhenti. Kondisi tersebut dalam hal ini adalah string khusus yang kemungkinan besar terdapat pada file tersebut, contoh yang paling dikenal dan paling sering digunakan adalah "MZ", dan DOS string "This program cannot be run in DOS mode". Agar lebih akurat kita juga menambahkan string condition lainnya yakni "KERNEL32.DLL" atau "WS2_32.DLL" yang kemungkinan besar terdapat pada file tersebut.

Tidak beselang lama setelah brute-force dijalankan, maka didapatlah kunci yang cocok, yakni: "game" dengan panjang key yang benar adalah 8. Dengan kata lain, password yang benar yang ia gunakan adalah sepanjang 8 karakter dengan 4 karakter pertama adalah "game". Mungkinkah maksudnya adalah "gameover"?  

Berikut ini adalah tampilan file kernel.dll setelah di-decrypt:

3 Certificates From 3 Different Companies

 

Setelah file kernel.dll berhasil di-decrypt ternyata diketahui bahwa file tersebut juga ditandatangani. Sertifikat yang digunakan pun berbeda dengan dua file sebelumnya, yang ditanda-tangani pada tanggal 06 Maret 2012 18:18:26 sementara pada file header menunjukan file tersebut dibuat pada tanggal 11 Maret 2012 11:12:13. Sedikit kecurigaan muncul apakah tanggal dan waktu tersebut telah dimodifikasi atau hanya kebetulan, karena waktu compile sangat berurutan, jam 11 menit 12 detik 13.

Terlepas dari hal itu jadi total total sertifikat yang ia gunakan adalah 3 dari perusahaan yang berbeda – beda. Namun, tidak seperti pada kedua file executable sebelumnya yang status sertifikatnya masih dalam keadaan valid, pada file kernel.dll sertifikatnya telah di-revoke sehingga sudah tidak valid lagi.

Kembali pada file DaumCleans.exe, saat ia mendapatkan kunci yang cocok dan file kernel.dll berhasil di-decrypt, maka DaumCleans.exe akan me-load file tersebut dan mencoba mendapatkan alamat API dari beberapa exported function, diantaranya adalah:

• StartShell
• ClearFile
• g_iiskill

Selanjutnya fungsi pertama yang akan dipanggil adalah StartShell yang bertugas sebagai backdoor. Fungsi StartShell pertama akan menjalankan ipconfig dengan parameter "ipconfig /all". Data hasil tangkapan ini selanjutnya dikirim kembali ke C&C server.

Dengan dikirimkannya hasil output dari perintah ipconfig tadi, maka kini attacker dapat mengetahui IP yang digunakan pada komputer korban, termasuk gateway, DNS server, MAC address, dan mungkin dapat memperkirakan struktur jaringan, dan lain – lain.

Setelah backdoor pada komputer korban tercipta, attacker kini selanjutnya dapat leluasa mengirimkan perintah kepada komputer. Perintah – perintah tersebut memiliki format sebagai berikut:

Sama seperti halnya pada saat ia memanggil perintah "ipconfig", setiap perintah yang dijalankan akan ditangkap dan disimpan pada buffer untuk kemudian dapat dikirim kembali ke server. Untuk itu saat ia mendapatkan perintah "iiscmd", ia akan memanggil CreateProcess dengan sebelumnya sebuah anonymous pipe telah dibuat menggunakan CreatePipe yang dipersiapkan untuk meng-capture hasil dari standard output.

 

Suicide

Jika ternyata attacker tidak menginginkan malware nya menginfeksi korban atau ia punya alasan lainnya, ia dapat menghentikannya dengan mengirimkan perintah "iiskill". Dengan begitu malware tersebut akan melakukan bunuh diri dengan menghapus key run yang telah dibuat di registry dan menghapus dirinya sendiri dari system. Selain itu pada rutin bunuh diri juga terlihat ia mencari file dengan nama tran.exe di direktori yang sama, C:\tmp, apabila ditemukan maka file tersebut juga akan akan dihapus.

 

Propagation

Ada satu hal yang hingga sampai saat ini saya belum yakin, yaitu dari mana dan bagaimana malware tersebut menyebar. Namun dari hasil pencarian saya menemukan dokumen ASEC Report milik Ahnlab (halaman: 14) yang pada salah satu artikelnya yang berjudul "A file-stealing malicious code distributed via email" terdapat analisa malware yang memiliki kemiripan dengan malware ini, mulai dari nama file hingga nama registry key yang dibuat yang saya duga merupakan varian awal dari malware tersebut.

Dalam laporan dituliskan bahwa malware tersebut menyebar melalui email dengan perantara link berbahaya yang disertakan pada email. Jika link berbahaya tersebut di-klik, maka pengguna akan dibawa ke situs yang telah terpasang Java exploit, untuk kemudian men-download file berbahaya ke komputer korban dan menginfeksinya.

Cara Mengatasi IP Speedy Yang Terdaftar sebagai PBL di Spamhaus

Artikel ini adalah kelanjutan dari artikel sebelumnya yang berjudul "IP Telkom Speedy dan Spamhaus?". Tulisan ini dibuat karena beberapa orang masih menanyakan kepada saya perihal hal tersebut. Dan saya juga tidak menyangka, dari tulisan tersebut yang saya anggap sepele, ternyata banyak sekali mereka yang mengalami hal yang sama dan kesulitan untuk melakukannya, terlihat dari jumlah pengunjung yang cukup banyak setiap harinya dan statistik keyword yang banyak mengarah ke artikel tersebut. Sepertinya, masih banyak yang pada bingung mengenai cara menghapus atau membersihkan IP dari blok/blacklist Spamhaus hehe...

Well, sebenarnya jika Anda direferensikan/direkomendasikan oleh Speedy (baca: 147) untuk men-delist IP Anda dari Spamhaus, tidak usah terlalu khawatir. Karena jika IP Anda terdaftar disana pada kategori PBL atau Policy Block List, dan PBL ini terkait dengan Email Policy System dengan kata lain berhubungan dengan email, bukan berarti IP Anda "bermasalah" atau dikenal sebagai "IP spammer". Karena seperti yang telah saya katakan sebelumnya, terdaftar sebagai PBL bukan apa-apa, bukan hal yang gawat, dengan kata lain, PBL bukanlah blacklist!

Berikut ini adalah potongan lengkap dari FAQ mengenai PBL yang bisa Anda lihat di situs spamhaus:

Q: Help! My IP address is on the PBL! What should I do?

A: Nothing, in most cases. Read through this FAQ for further explanations.

The first thing to know is: THE PBL IS NOT A BLACKLIST. You are not listed for spamming or for anything you have done. The PBL is simply a list of all of the world's dynamic IP space, i.e: IP ranges normally assigned to ISP broadband customers (DSL, DHCP, PPP, cable, dialup). It is perfectly normal for dynamic IP addresses to be listed on the PBL. In fact all dynamic IP addresses in the world should be on the PBL. Even static IPs which do not send mail should be listed in the PBL.

PBL listings do not prevent you sending email unless your email program is not authenticating properly when it connects to your ISP or to your company's mail server. This can happen if you have forgotten to turn on 'SMTP Authentication' or if you have switched 'SMTP Authentication' off by mistake.

If you are using a normal email program such as Outlook, Entourage, Thunderbird or Apple Mail and you are being blocked by a Spamhaus PBL listing when you try to send email, the reason is simply that YOU NEED TO TURN ON 'SMTP AUTHENTICATION' in your email program's account settings. That will solve the problem for you. See: How do I turn on SMTP Authentication?

Server admins who need help with SMTP AUTH can find lots of information for most servers such as Sendmail, Postfix, Exim, Qmail, Exchange, etc.

Jadi, cukup membingungkan bagi saya, apalagi bagi orang awam, perihal, kenapa Speedy merekomendasikan pelanggannya yang ada masalah dengan IP nya, untuk melakukan delist IP mereka dari Spamhaus, yang (kebanyakan) terdaftar pada PBL. Padahal, Spamhaus sendiri mengatakan jelas-jelas (dengan tulisan BOLD pula), bahwa "THE PBL IS NOT A BLACKLIST", tidak cuma itu aja, ada kelanjutannya nih, "It is perfectly normal for dynamic IP addresses to be listed on the PBL. In fact all dynamic IP addresses in the world should be on the PBL." yang dalam bahasa Indonesia kurang lebih artinya adalah: "Sangat normal sekali jika IP address dinamis terdaftar pada PBL. Dan faktanya, semua IP dinamis di seluruh dunia memang seharusnya terdaftar pada PBL".

Pada kasus yang saya alami, tidak ada sama sekali hubungannya dengan email, kirim maupun terima email lancar-lancar saja, karena seperti yang saya ceritakan pada postingan sebelumnya, permasalahannya adalah, entah kenapa IP saya tidak bisa di ping dari luar (baca: dari alamat / IP lain). Yang kemudian diketahui akar permasalahannya ternyata hanya terletak pada setingan router mikrotik di jaringan rumah *LOL*. Yaahh, pelajaran juga sih buat saya, harusnya periksa terlebih dahulu komputer termasuk jaringan lokal untuk memastikan, kalau toh sudah yakin permasalahan bukan di sisi kita, baru deh telepon ISP Anda. :)

Tapi, apabila Anda memiliki kasus atau masalah dengan email, misalkan saat mengirim email, dan masalah tersebut diluar dari kesalahan setting, misalnya salah setting mail server pop3/imap, port, dll. Artinya, Anda yakin tidak ada yang salah dengan komputer Anda, dan tidak ada yang salah dengan setingan email Anda, namun nyatanya Anda tetap tidak bisa mengirim email, maka tidak ada salahnya untuk mencoba me-request agar IP Anda dihapus dari daftar tersebut.

Untuk memeriksa, menghapus, menghilangkan, atau membersihkan IP yang terdaftar di PBL sebenarnya sangat mudah sekali, caranya sebagai berikut:

Masuk ke halaman Blocklist Removal Center. Pada bagian "Enter an IP address", masukan IP yang ingin dicek, dan klik "Lookup".

Nantinya akan terlihat apakah IP Anda terdaftar pada Spamhaus, dan jika terdaftar masuk kategori apa. Seperti terlihat pada gambar di bawah, salah satu IP saya terdaftar pada kategori PBL, dan ditandai dengan tulisan merah disana.

Jika terdaftar pada PBL, cukup klik ID PBL seperti yang saya lingkarkan pada gambar di atas. Lalu, dihalaman selanjutnya agak di-scroll ke bawah, dan klik tombol "Remove an IP from PBL".

Di halaman selanjutnya, Anda sebelumnya akan diberikan penjelasan dan perintah mengenai apa yang harus Anda lakukan sebelum melakukan penghapusan. Poin-poin nya adalah sebagai berikut:

• Spamhaus menjelaskan bahwa PBL bukanlah daftar blacklist, namun, (PENTING!) Anda diharuskan mengaktifkan fitur Authentication pada outgoing mail atau smtp di aplikasi mail client yang digunakan, baik itu Microsoft Outlook, Mozilla Thunderbird, dan lain sebagainya. Untuk melakukan ini pada Outlook, silakan buka account properties, dan centang bagian "My outgoing server (SMTP) requires authentication". Cara selengkapnya bisa Anda lihat di sini. Dan disarankan juga untuk tidak menggunakan port standar 25, lebih baik gunakan port yang lebih secure yang sudah mendukung SSL/TLS seperti port 465 atau  587.
  
• Dijelaskan juga bahwa, Anda hanya perlu menghapus IP Anda dari PBL jika, IP address Anda adalah statis, dan Reverse DNS telah di-assign dengan benar menuju ke mail server.
• Atau, anda hanya perlu  menghapus IP Anda dari PBL jika Anda memiliki alasan teknis khusus misalnya untuk melakukan Direct-to-MX mailing atau menjalankan mail server di IP tersebut untuk keperluan tertentu. Namun perlu diingat lagi, jika Anda melakukan ini, pastikan Anda tidak melakukan spam, karena 'Direct-to-MX mailing' biasanya berhubungan erat dengan kegiatan spamming.
• Jika Anda menghapus IP dari PBL namun dikemudian hari terdapat aktivitas spamming dari IP tersebut, maka IP itu akan dimasukan dalam daftar SBL atau XBL.
• Penting: Ketika Anda me-request untuk dihapus, pastikan Anda tidak menggunakan email gratisan seperti Gmail, Yahoo, Hotmail, dll. Karena tidak akan di-approve. Jadi, jika Anda menggunakan Telkom Speedy, gunakanlah email dari Speedy yakni @telkom.net.id yang bisa Anda register dari situs nya Telkom Speedy.
• Dan namun, jika IP anda juga terdaftar pada kategori lain selain PBL, yakni SBL dan XBL, Anda tidak dapat menghapus IP tersebut. Jika kasusnya seperti ini, mereka menyarankan untuk menhubungi langsung ISP yang Anda gunakan.

Lalu, dibagian paling bawah ada kotak kuning. Centang pada "I have read and I have understood this page", dan klik tombol "Remove IP Address".

Di halaman berikutnya, isi data-data yang diperlukan mulai dari IP address yang ingin dihapus, alamat email Anda (sekali lagi, jangan gunakan email gratisan, saya sarankan gunakanlah email telkom.net.id jika Anda pengguna Speedy). Selanjutnya isi juga negara, dan tipe IP apakah dinamis atau statis, kalau tidak yakin pilih saja 'not sure'. Lalu isi juga jenis komputer apakah personal atau sebagai mail server. Dan terakhir, isi captcha nya.

Di layar selanjutnya Anda diharuskan mengisi 5 digit kode yang dikirimkan melalui email. Silakan cek email Anda.

Masukan kelima digit kode tersebut pada kotak yang tersedia, dan klik Finish.

Selamat, permintaan Anda telah diterima dan IP Anda sudah ditambahkan kedalam PBL Removals database. Silakan tunggu selama kurang lebih 30 menit agar perubahan tersebut ter-update.

Setelah 30 menit Anda bisa memeriksanya kembali. Jika hasilnya seperti ini, dengan warna hijau pada kategori PBL, berarti Anda telah berhasil menghapus IP Anda dari daftar PBL di Spamhaus.

Semoga membantu :)

Jika Anda memiliki pertanyaan lainnya bisa tulis komentar atau hubungi saya langsung.



* Spamhaus or The Spamhaus Project is an international nonprofit organization whose mission is to track the Internet's spam operations and sources, to provide dependable realtime anti-spam protection for Internet networks, to work with Law Enforcement Agencies to identify and pursue spam gangs worldwide, and to lobby governments for effective anti-spam legislation.
* Images / screenshot are taken from The Spamhaus Project site, http://www.spamhaus.org.

IP Telkom Speedy dan Spamhaus?

Beberapa hari yang lalu saya baru menyadari bahwa salah satu IP publik Speedy saya tidak bisa di-ping dari jaringan luar/internet. Pikir saya, ini hanya masalah Firewall di Windows 7 yang memblok ICMP, namun ternyata setelah dicek Firewall di komputer utama telah mengijinkan packet ICMP, artinya, seharusnya tidak ada masalah dengan ping.

Biar gak pake lama, karena males mikir, akhirnya saya telepon 147. Mungkinkah di-blok dari sisi Telkom? Namun setelah berbicara dengan operator alias CS-nya Speedy, saya malah jadi tambah bingung. Pertama saya menjelaskan keadaan jaringan, bahwa saya memiliki 2 line Speedy, namun salah satunya tidak bisa di ping dari luar, bla bla bla. Dan saya menanyakan apakah mungkin di blok oleh Telkom. Lalu ia mengatakan "tidak ada pemblokiran dari sisi Telkom". Oh, ok baiklah. Namun yang bikin aneh, CS tersebut lalu menyuruh saya membuka situs spamhaus.org untuk memeriksa apakah IP saya terdaftar disana (??). Spamhaus adalah organisasi yang melakukan tracking komputer-komputer yang dianggap melakukan spam.

Sempet mikir sih, apa hubungannya IP saya yang gak bisa ping sama Spamhaus? Wah ngaco nih kayaknya. Tapi ya gpp lah, iseng-iseng coba ikutin aja perintah dia daripada gak ada kerjaan hehehe. Sambil dipandu melalui telepon oleh CS nya. "Bapak klik ini....klik itu.....masukan IP address... lalu hasilnya apa pak?".

Pada spamhaus terdapat beberapa bagian, ada SBL (Spamhaus Block List), XBL (Exploits Block List), PBL (Policy Block List), dan lain sebagainya. Hasilnya, IP saya terdaftar pada PBL, ditandai dengan warna merah disana. Lalu, lanjut CS nya, "...coba bapak hapus dulu blocking disana untuk menghapus IP bapak dalam daftar tersebut.". Dengan kata lain, maksudnya dia adalah, mungkin IP saya di deteksi sebagai spammer, lalu coba kirim email verifikasi ke mereka (spamhaus) untuk dihapus dari daftar spam, dengan begitu IP saya nantinya akan bisa di-ping lagi.

Karena saya tetep ngotot ini gak ngaruh, dan bukan solusinya. Kenapa? Karena saya tau spamhaus itu apa, dan saya tau spamhaus bukan yang mengurusi masalah pemblokiran IP saya. Dan lagi, perlu diketahui bahwa hampir rata-rata semua IP di dunia tercatat pada PBL. Dan yang terpenting, PBL itu bukanlah blacklist! Jadi, alasan kenapa IP kita bisa terdaftar di sana kemungkinan besar hanyalah dikarenakan kita tidak mengaktifkan fitur SMTP Authentication pada mail client.

Saya coba cari-cari informasinya di situs mereka, ada juga kok keterangannya:

The first thing to know is: THE PBL IS NOT A BLACKLIST. You are not listed for spamming or for anything you have done. The PBL is simply a list of all of the world's dynamic IP space, i.e: IP ranges normally assigned to ISP broadband customers (DSL, DHCP, PPP, cable, dialup). It is perfectly normal for dynamic IP addresses to be listed on the PBL. In fact all dynamic IP addresses in the world should be on the PBL. Even static IPs which do not send mail should be listed in the PBL.

PBL listings do not prevent you sending email unless your email program is not authenticating properly when it connects to your ISP or to your company's mail server. This can happen if you have forgotten to turn on 'SMTP Authentication' or if you have switched 'SMTP Authentication' off by mistake.

Saya pun melanjutkan untuk meyakinkan CS tersebut bahwa spamhaus ini tidak ada hubungannya dengan masalah IP saya itu, akhirnya saya bilang aja "mas, IP saya yang satunya juga terdaftar sebagai PBL, tapi yang ini bisa kok nge-ping". Tapi CS nya tetap bersikeras dengan pendapatnya, dia tetep ngotot agar saya coba dulu untuk men-delist IP saya dari daftar tersebut. "Oke deh mas, terima kasih ya!", telepon saya tutup.

Hmm... penasaran, darimana si CS dapet inspirasi mengenai spamhaus ini yah?

Well, akhirnya saya coba traceroute sendiri macetnya dimana. Dan ternyata, setelah dipikir-pikir (sudah tidak males mikir lagi), baru ingat beberapa minggu yang lalu pernah mengubah settingan di Mikrotik. Akhirnya, saya coba restore settingan di Mikrotik dengan yang sebelumnya. And finally, it works! IP publik tersebut bisa di-ping dari luar, tanpa masalah. Dan ini bukan dikarenakan IP tersebut terdaftar di PBL Spamhaus! :P

UPDATE: Lengkapnya mengenai cara menghapus IP Anda dari Spamhaus bisa dilihat di postingan selanjutnya: Cara Mengatasi IP Speedy Yang Terdaftar sebagai PBL di Spamhaus.

Ngrbot si pencuri password

Twitter sebagai layanan microblogging nomor satu di dunia memang selalu menjadi incaran para cybercrime. Tidak bisa dipungkiri, penggunanya yang sangat bejubel alias padat, menjadikannya sasaran empuk untuk menyebarkan malware maupun spam. Kali ini saya kembali menemukan sebuah malware, Emsisoft Anti-Malware mengenalnya sebagai Worm.Win32.Ngrbot.

File malicious yang saya dapatkan memiliki icon bergambar seorang wanita, dengan nama file "facebook-pic% number%.exe", yang dalam analisa singkat saya menunjukan bahwa malware ini cukup berbahaya.

Saat dijalankan malware ini akan meng-extract file utama dari tubuhnya pada direktori “C:\Document and Settings\%username%\Application Data\”, pada mesin tes berbasis Windows XP yang saya gunakan. Nama file yang digunakan akan di-generate menggunakan serial number HDD sebagai kunci awal, jika ia gagal mendapatkan serial number HDD, maka ia akan menggunkan “1337B00B” (baca: bahasa elite) sebagai kunci awalnya.

Salah satu fiturnya adalah ia dapat memblok akses ke berbagai situs security, termasuk emsisoft.com. Dan secara tidak langsung ini juga akan menghambat program security untuk melakukan update. Pada tubuh virus tersebut terdapat nama – nama situs yang di blok yang terdapat pada section .data yang ter-encrypt:

Sebagai tambahan, ia juga mendownload sebuah file teks yang beralamat di http://212.7.214.16/list.txt, yang berisi 1269 domain situs dan blog yang terkait dengan keamanan komputer.

Sebagai pertahanan diri, malware ini juga memiliki kemampuan rootkit untuk menyembunyikan file dan registry yang dibuatnya. Ia melakukan systemwide hook, meng-inject dirinya ke seluruh process aktif dan melakukan hooking pada beberapa fungsi berikut ini:

• advapi32.dll.RegCreateKeyExW
• advapi32.dll.RegCreateKeyExA
• ntdll.dl.NtQueryDirectoryFile
• ntdll.dl.NtEnumerateValueKey
• ntdll.dl.NtResumeThread
• ntdll.dl.LdrLoadDll
• kernel32.dll.CopyFileW
• kernel32.dll.CopyFileA
• kernel32.dll.CreateFileW
• kernel32.dll.CreateFileA
• kernel32.dll.MoveFileW
• kernel32.dll.MoveFileA
• wininet.dll.InternetWriteFile
• wininet.dll.HttpSendRequestW
• wininet.dll.HttpSendRequestA
• ws2_32.dll.getaddrinfo
• ws2_32.dll.send
• nspr4.dll.PR_Write

Untuk menandai kehadirannya, ia membuat mutex "s5rBKCUVfOF8JLVi", dan pada setiap proses yang telah di-inject juga akan terdapat mutex dengan nama “hex-Mutex”.

Dari daftar tersebut terlihat beberapa fungsi yang terkait dengan komunikasi data internet, artinya ia dapat memantau aktivitas browsing dari korban. Malware ini dapat berkomunikasi dengan C&C melalui protokol IRC, jadi ia dapat mengirimkan segala informasi yang ditemukan pada komputer korban kepada pembuatnya. Dan juga, pembuatnya bisa memerintahkan malware ini untuk berbuat sesuatu, seperti contohnya men-download update file binary malware tersebut.

Ini jelas akan sangat berbahaya apabila korban melakukan login ke akun email, Facebook, Twitter, atau bahkan aktivitas online banking, seperti yang terlihat pada string berikut ini, yang ditemukan pada proses yang dibajak:

Dari sana Anda bias melihat beberapa situs online banking seperti officebanking.cl, Alertpay, Moneybookers and PayPal, and lain sebagainya.

Pada komputer terinfeksi, ia akan mengumpulkan berbagai informasi pada komputer korban, contohnya ia melakukan koneksi ke alamat http://api.wipmania.com/ untuk mendapatkan alamat IP dan negara asal korban.

Halaman default dari browser korban juga diubahnya, menjadi mengarah ke situs http://redirecturls.info/.  Yang selanjutnya dapat me-redirect pengguna ke situs-situs berikut ini:

• hxxp://best-articles.li
• hxxp://bestarticles-ever.blogspot.com
• hxxp://amazingarticles.info
• hxxp://mega-articles.info

MSN Messenger juga digunakan sebagai salah satu teknik penyebarannya. Yang ia lakukan adalah, mencegat pesan yang dikirimkan oleh user lalu membajak pesan tersebut secara on-the-fly.

Contohnya pada kasus ini, saya mencoba mengirimkan pesan “Hello” kepada seorang teman, namun ternyata teman saya malah mendapatkan pesan “LOL http://[MALICIOUS_LINK]”. URL yang diterima pun bisa berubah-ubah, tergantung apa yang diinstruksikan oleh host server atau C&C. Selanjutnya malware tersebut akan melaporkan aksinya ini kepada host server.

Itulah beberapa "feature" yang dimiliki oleh Ngrbot. Terakhir dan tidak kalah pentingnya, ia juga memiliki sebuah pesan bagi orang yang mencoba me-reverse atau menganalisis malware ini:

* Artikel ini merupakan versi bahasa Indonesia dari artikel yang berjudul Warning: New malware wants to steal your passwords yang dipublikasikan pada blog Emsisoft.

Virus Penyerang Instalasi Nuklir di Indonesia

VIVAnews - Beberapa waktu lalu dilaporkan bahwa worm Stuxnet menyerang Heysham Power Station,  sebuah pembangkit tenaga nuklir di Inggris. Satu dari dua reaktor Heysham 1 dimiliki oleh perusahaan Energi dari Perancis, EDF. Namun, seperti yang dikutip dari TheRegister, juru bicara EDF mengatakan bahwa permasalahan yang terjadi Heysham 1 tidak ada hubungannya  dengan isu 'cyber security'.

Cerita seputar Stuxnet memang tidak ada habisnya. Semenjak kemunculannya bulan Juni lalu, hingga kini Stuxnet terus menjadi bahan perbincangan di kalangan analis antivirus seluruh dunia.

Stuxnet memang didesain untuk langsung menyerang sistem spesifik yakni SCADA dan PLC (Programmable Logic Controllers) yang menggunakan Siemens STEP 7 SCADA  atau SIMATIC WinCC. Bahayanya, Stuxnet juga dapat mencuri data-data penting di dalamnya.

SCADA atau Supervisory Control and Data Acquisition adalah sistem yang bertugas mengontrol dan memonitor proses industri dan infrastruturnya, dan biasanya juga digunakan oleh pembangkit listrik.

Stuxnet memang program yang sangat canggih. Ia dibuat dengan kode yang begitu kompleks serta mampu mengeksploitasi beberapa celah Windows sekaligus dengan target serangan yang ditujukan pada skala besar/industri. Ini menjadikannya sebagai worm selebritas di kalangan para researcher antivirus.

Banyak orang yang mencurigai Stuxnet dibuat oleh sekelompok orang dengan dukungan teknologi dan dana yang besar. Tidak heran bila banyak spekulasi mengatakan Stuxnet dibekingi oleh negara tertentu.

Banyak kalangan menduga bahwa Stuxnet sengaja didesain untuk menyerang pembangkit tenaga nuklir di Bushehr, Iran. Ada pula yang mengatakan bahwa ia mengincar uranium centrifuges (mesin pemisah isotop) di instalasi nuklir Natanz, yang juga berada di Iran.

Iran memang menduduki peringkat pertama sebagai negara dengan tingkat penyebaran Stuxnet yang paling tinggi di dunia. Dalam update laporan terbaru yang dibuat oleh Symantec, diduga kuat serangan ini ditujukan kepada pembangkit nuklir milik Iran.

Pemerintah Iran sendiri secara resmi pernah mengkonfirmasikan bahwa Stuxnet telah menfinfeksi 30.000 komputer di negara Mullah itu. Namun mereka menyangkal bahwa worm Stuxnet tersebut menyebabkan kerusakan pada sistem SCADA yang ada di industri-industri, maupun reaktor nuklir milik mereka.

Serunya, Ramin Mehmanparast, pejabat dari Departemen Luar Negeri Iran, terang-terangan menuduh bahwa Stuxnet adalah bagian dari upaya barat untuk mensabotase program nuklir milik Iran. Spekulasi itu pun kini sudah mengarah kepada ranah politik.

Sekarang, mari kita lihat dari sisi Indonesia, yang merupakan negara dengan tingkat serangan Stuxnet tertinggi kedua setelah Iran. Yang jadi pertanyaan selanjutnya adalah, mengapa Stuxnet juga begitu menyebar luas di Indonesia? Apakah Stuxnet juga ditargetkan untuk menyerang infrastruktus industri di Indonesia?

Hingga kini belum ada konfirmasi resmi dari kalangan industri maupun pemerintah setempat, perihal dampak dari serangan Stuxnet ini. Korban terbanyak di Indonesia justru berasal dari masyarakat umum pengguna Windows, yang banyak melaporkan komputernya terinfeksi oleh Stuxnet.

Tak usah jauh-jauh, beberapa waktu lalu, saya melakukan scanning rutin terhadap USB flashdisk milik ayah serta adik saya. Ternyata worm Stuxnet terdeteksi di media simpan portabel itu.

Memang efek Stuxnet ini tak begitu kentara saat ia berjalan di sebuah komputer rumahan biasa. Namun, Stuxnet baru akan menyerang secara ganas pada komputer yang memiliki SCADA di dalamnya, karena memang Stuxnet didesain untuk itu.

Symantec pernah membuat proof-of-concept mengenai bahayanya stuxnet dengan melakukan simulasi percobaan menggunakan balon. Tes dilakukan menggunakan komputer yang terhubung dengan sistem SCADA yang diprogram untuk menjalankan mesin pompa peniup balon selama sekitar 3 detik.

Ketika salah satu komputer diinfeksikan worm Stuxnet, maka sistem SCADA mulai menunjukkan keanehan, karena kemudian worm Stuxnet menginstruksikan mesin pompa untuk terus meniup balon, hingga akhirnya meledak.

Cepatnya penyebaran Stuxnet yang terjadi di Indonesia adalah akibat kebiasaan penggunaan flash disk sebagai media pertukaran data yang terpopuler di masyarakat. Ini menjawab pertanyaan mengapa stuxnet begitu menyebar luas di sini.

Stuxnet merupakan worm pertama yang dapat mengeksploitasi dan memanfaatkan celah sistem operasi Windows melalui file .LNK atau shortcut (CVE-2010-2568), yang dirancang untuk menginfeksi flash disk sebagai media primer penyebarannya.

Tidak hanya itu, karena ia juga dapat menyebar di LAN atau jaringan setempat dengan mengeksploitasi celah Microsoft Windows Server Service RPC Handling Remote Code Execution Vulnerability (CVE-2008-4250), kelemahan Printer Spooler  (CVE-2010-2729), hingga menggunakan certificate atau digital signature curian.

Pada laporan awalnya, Michael Krampe, Jurubicara Siemens mengumumkan ditemukannya 15 customer-nya yang positif terinfeksi oleh virus ini, dan menurutnya masing-masing telah dapat mengatasi worm tersebut dan tidak berdampak buruk pada operational mereka.

Sumber  lain juga menimpali, bahwa sepertiga dari customer, berasal dari industri di Jerman. Sebagai tindak lanjut dari serangan Stuxnet, Siemens dalam situs resminya memberikan solusi aman terkait penggunaan sistem mereka dan menyarankan kepada orang untuk tidak menggunakan flash drives.

Hingga kini, misteri yang menyelubungi Stuxnet masih terus memicu berbagai spekulasi. Banyak pertanyaan yang belum terjawab tentang siapa sebenarnya target utama worm ini, siapa pembuatnya, dan lain sebagainya. Terlepas dari itu semua, Industri manapun sangat potensial terserang oleh worm canggih ini. Tak peduli di Iran, Inggris, atau Indonesia. Atau bahkan mungkin juga Stuxnet telah sampai di komputer Anda.

*Source: http://analisis.vivanews.com/news/read/189993-virus-penyerang-instalasi-nuklir-di-indonesia

Facebook Malware: Your account has been suspended!

Today, I found another Facebook malware that able to spread through Facebook chat messages. The message that malware sent looks like this:

hahahh Foto :D hxxp://apps.facebook.com/glombotke/photo.php?=1012323960

When I click the link, then it will be redirected to the malicious application page which contain malware.

Once the malware active, I try to logout and re-login to the Facebook, now I'm faced with an annoying scam survey page that block the login page, combined with the redirect to another site. Once I skip this, the Facebook account has been suspended.
With a message like this:

Your Account as been suspended!
The suspend will be released after 80 minutes
The suspend will be disabled only if you fill out one survey!
Please wait 80 minutes and tray again.

If I look carefully, there are some words that are wrong, for example:
Your Account as been suspended! it must be Your Account has been suspended!, and
Please wait 80 minutes and tray again. it must be Please wait 80 minutes and try again.
Yeahh…. this is a fake message!
---
Update:
A more detailed article about this malware can be found on Emsisoft Blog. Enjoy ;)