Sabtu, 09 Juli 2011

IP Telkom Speedy dan Spamhaus?

Beberapa hari yang lalu saya baru menyadari bahwa salah satu IP publik Speedy saya tidak bisa di-ping dari jaringan luar/internet. Pikir saya, ini hanya masalah Firewall di Windows 7 yang memblok ICMP, namun ternyata setelah dicek Firewall di komputer utama telah mengijinkan packet ICMP, artinya, seharusnya tidak ada masalah dengan ping.

Biar gak pake lama, karena males mikir, akhirnya saya telepon 147. Mungkinkah di-blok dari sisi Telkom? Namun setelah berbicara dengan operator alias CS-nya Speedy, saya malah jadi tambah bingung. Pertama saya menjelaskan keadaan jaringan, bahwa saya memiliki 2 line Speedy, namun salah satunya tidak bisa di ping dari luar, bla bla bla. Dan saya menanyakan apakah mungkin di blok oleh Telkom. Lalu ia mengatakan "tidak ada pemblokiran dari sisi Telkom". Oh, ok baiklah. Namun yang bikin aneh, CS tersebut lalu menyuruh saya membuka situs spamhaus.org untuk memeriksa apakah IP saya terdaftar disana (??). Spamhaus adalah organisasi yang melakukan tracking komputer-komputer yang dianggap melakukan spam.

Sempet mikir sih, apa hubungannya IP saya yang gak bisa ping sama Spamhaus? Wah ngaco nih kayaknya. Tapi ya gpp lah, iseng-iseng coba ikutin aja perintah dia daripada gak ada kerjaan hehehe. Sambil dipandu melalui telepon oleh CS nya. "Bapak klik ini....klik itu.....masukan IP address... lalu hasilnya apa pak?".

Pada spamhaus terdapat beberapa bagian, ada SBL (Spamhaus Block List), XBL (Exploits Block List), PBL (Policy Block List), dan lain sebagainya. Hasilnya, IP saya terdaftar pada PBL, ditandai dengan warna merah disana. Lalu, lanjut CS nya, "...coba bapak hapus dulu blocking disana untuk menghapus IP bapak dalam daftar tersebut.". Dengan kata lain, maksudnya dia adalah, mungkin IP saya di deteksi sebagai spammer, lalu coba kirim email verifikasi ke mereka (spamhaus) untuk dihapus dari daftar spam, dengan begitu IP saya nantinya akan bisa di-ping lagi.



Karena saya tetep ngotot ini gak ngaruh, dan bukan solusinya. Kenapa? Karena saya tau spamhaus itu apa, dan saya tau spamhaus bukan yang mengurusi masalah pemblokiran IP saya. Dan lagi, perlu diketahui bahwa hampir rata-rata semua IP di dunia tercatat pada PBL. Dan yang terpenting, PBL itu bukanlah blacklist! Jadi, alasan kenapa IP kita bisa terdaftar di sana kemungkinan besar hanyalah dikarenakan kita tidak mengaktifkan fitur SMTP Authentication pada mail client.

Saya coba cari-cari informasinya di situs mereka, ada juga kok keterangannya:
The first thing to know is: THE PBL IS NOT A BLACKLIST. You are not listed for spamming or for anything you have done. The PBL is simply a list of all of the world's dynamic IP space, i.e: IP ranges normally assigned to ISP broadband customers (DSL, DHCP, PPP, cable, dialup). It is perfectly normal for dynamic IP addresses to be listed on the PBL. In fact all dynamic IP addresses in the world should be on the PBL. Even static IPs which do not send mail should be listed in the PBL.

PBL listings do not prevent you sending email unless your email program is not authenticating properly when it connects to your ISP or to your company's mail server. This can happen if you have forgotten to turn on 'SMTP Authentication' or if you have switched 'SMTP Authentication' off by mistake.

Saya pun melanjutkan untuk meyakinkan CS tersebut bahwa spamhaus ini tidak ada hubungannya dengan masalah IP saya itu, akhirnya saya bilang aja "mas, IP saya yang satunya juga terdaftar sebagai PBL, tapi yang ini bisa kok nge-ping". Tapi CS nya tetap bersikeras dengan pendapatnya, dia tetep ngotot agar saya coba dulu untuk men-delist IP saya dari daftar tersebut. "Oke deh mas, terima kasih ya!", telepon saya tutup.

Hmm... penasaran, darimana si CS dapet inspirasi mengenai spamhaus ini yah?

Well, akhirnya saya coba traceroute sendiri macetnya dimana. Dan ternyata, setelah dipikir-pikir (sudah tidak males mikir lagi), baru ingat beberapa minggu yang lalu pernah mengubah settingan di Mikrotik. Akhirnya, saya coba restore settingan di Mikrotik dengan yang sebelumnya. And finally, it works! IP publik tersebut bisa di-ping dari luar, tanpa masalah. Dan ini bukan dikarenakan IP tersebut terdaftar di PBL Spamhaus! :P

UPDATE: Lengkapnya mengenai cara menghapus IP Anda dari Spamhaus bisa dilihat di postingan selanjutnya: Cara Mengatasi IP Speedy Yang Terdaftar sebagai PBL di Spamhaus.

Ngrbot si pencuri password

Twitter sebagai layanan microblogging nomor satu di dunia memang selalu menjadi incaran para cybercrime. Tidak bisa dipungkiri, penggunanya yang sangat bejubel alias padat, menjadikannya sasaran empuk untuk menyebarkan malware maupun spam. Kali ini saya kembali menemukan sebuah malware, Emsisoft Anti-Malware mengenalnya sebagai Worm.Win32.Ngrbot.




File malicious yang saya dapatkan memiliki icon bergambar seorang wanita, dengan nama file "facebook-pic% number%.exe", yang dalam analisa singkat saya menunjukan bahwa malware ini cukup berbahaya.



Saat dijalankan malware ini akan meng-extract file utama dari tubuhnya pada direktori “C:\Document and Settings\%username%\Application Data\”, pada mesin tes berbasis Windows XP yang saya gunakan. Nama file yang digunakan akan di-generate menggunakan serial number HDD sebagai kunci awal, jika ia gagal mendapatkan serial number HDD, maka ia akan menggunkan “1337B00B” (baca: bahasa elite) sebagai kunci awalnya.



Salah satu fiturnya adalah ia dapat memblok akses ke berbagai situs security, termasuk emsisoft.com. Dan secara tidak langsung ini juga akan menghambat program security untuk melakukan update. Pada tubuh virus tersebut terdapat nama – nama situs yang di blok yang terdapat pada section .data yang ter-encrypt:



Sebagai tambahan, ia juga mendownload sebuah file teks yang beralamat di http://212.7.214.16/list.txt, yang berisi 1269 domain situs dan blog yang terkait dengan keamanan komputer.



Sebagai pertahanan diri, malware ini juga memiliki kemampuan rootkit untuk menyembunyikan file dan registry yang dibuatnya. Ia melakukan systemwide hook, meng-inject dirinya ke seluruh process aktif dan melakukan hooking pada beberapa fungsi berikut ini:
  • advapi32.dll.RegCreateKeyExW
  • advapi32.dll.RegCreateKeyExA
  • ntdll.dl.NtQueryDirectoryFile
  • ntdll.dl.NtEnumerateValueKey
  • ntdll.dl.NtResumeThread
  • ntdll.dl.LdrLoadDll
  • kernel32.dll.CopyFileW
  • kernel32.dll.CopyFileA
  • kernel32.dll.CreateFileW
  • kernel32.dll.CreateFileA
  • kernel32.dll.MoveFileW
  • kernel32.dll.MoveFileA
  • wininet.dll.InternetWriteFile
  • wininet.dll.HttpSendRequestW
  • wininet.dll.HttpSendRequestA
  • ws2_32.dll.getaddrinfo
  • ws2_32.dll.send
  • nspr4.dll.PR_Write

Untuk menandai kehadirannya, ia membuat mutex "s5rBKCUVfOF8JLVi", dan pada setiap proses yang telah di-inject juga akan terdapat mutex dengan nama “hex-Mutex”.

Dari daftar tersebut terlihat beberapa fungsi yang terkait dengan komunikasi data internet, artinya ia dapat memantau aktivitas browsing dari korban. Malware ini dapat berkomunikasi dengan C&C melalui protokol IRC, jadi ia dapat mengirimkan segala informasi yang ditemukan pada komputer korban kepada pembuatnya. Dan juga, pembuatnya bisa memerintahkan malware ini untuk berbuat sesuatu, seperti contohnya men-download update file binary malware tersebut.



Ini jelas akan sangat berbahaya apabila korban melakukan login ke akun email, Facebook, Twitter, atau bahkan aktivitas online banking, seperti yang terlihat pada string berikut ini, yang ditemukan pada proses yang dibajak:



Dari sana Anda bias melihat beberapa situs online banking seperti officebanking.cl, Alertpay, Moneybookers and PayPal, and lain sebagainya.

Pada komputer terinfeksi, ia akan mengumpulkan berbagai informasi pada komputer korban, contohnya ia melakukan koneksi ke alamat http://api.wipmania.com/ untuk mendapatkan alamat IP dan negara asal korban.

Halaman default dari browser korban juga diubahnya, menjadi mengarah ke situs http://redirecturls.info/.  Yang selanjutnya dapat me-redirect pengguna ke situs-situs berikut ini:
  • hxxp://best-articles.li
  • hxxp://bestarticles-ever.blogspot.com
  • hxxp://amazingarticles.info
  • hxxp://mega-articles.info



MSN Messenger juga digunakan sebagai salah satu teknik penyebarannya. Yang ia lakukan adalah, mencegat pesan yang dikirimkan oleh user lalu membajak pesan tersebut secara on-the-fly.

Contohnya pada kasus ini, saya mencoba mengirimkan pesan “Hello” kepada seorang teman, namun ternyata teman saya malah mendapatkan pesan “LOL http://[MALICIOUS_LINK]”. URL yang diterima pun bisa berubah-ubah, tergantung apa yang diinstruksikan oleh host server atau C&C. Selanjutnya malware tersebut akan melaporkan aksinya ini kepada host server.





Itulah beberapa "feature" yang dimiliki oleh Ngrbot. Terakhir dan tidak kalah pentingnya, ia juga memiliki sebuah pesan bagi orang yang mencoba me-reverse atau menganalisis malware ini:





* Artikel ini merupakan versi bahasa Indonesia dari artikel yang berjudul Warning: New malware wants to steal your passwords yang dipublikasikan pada blog Emsisoft.