{tocify} $title={Daftar Isi}
Kesadaran keamanan secara tradisional berkisar pada mantra kebersihan online pribadi, dengan banyak hal yang harus dan tidak boleh dilakukan pada intinya.
Untuk menggagalkan serangan dunia maya dan menghindari malware, pengguna diminta untuk secara proaktif berhati-hati dan menghindari mengklik tautan yang mencurigakan, mengabaikan lampiran email yang mencurigakan, dan menolak paket perangkat lunak yang mungkin penuh dengan kode berbahaya.
Teknik-teknik ini tidak diragukan lagi bermanfaat dan menghasilkan keajaiban bagi serangan dunia maya arus utama.
Namun, kewaspadaan saja tidak lagi cukup untuk tetap aman.
Serangan tanpa klik menghilangkan faktor manusia dari persamaan alih-alih mengandalkan kelemahan perangkat lunak atau perangkat keras untuk mendapatkan pijakan pada perangkat dan mengeksekusi muatan yang tidak jelas atau mencuri data di belakang punggung pengguna.
Pada dasarnya, ini adalah serangan tanpa interaksi. Seorang korban tidak dapat melakukan apa-apa begitu mereka berada dalam kendali pelaku kejahatan.
Meskipun serangan zero-click bukanlah hal baru, mereka tidak menjadi berita utama hampir sebanyak wabah malware klasik, serangan ransomware, pelanggaran data, phishing, dan serangan lainnya.
Namun, fakta bahwa vektor serangan ini dikalahkan oleh vektor yang lebih menonjol tidak berarti itu adalah ancaman kecil.
Masalah telah meningkat dengan booming penggunaan smartphone yang menyimpan tambang emas data pribadi yang penjahat cyber mungkin ingin mendapatkan.
Mari selami logika mekanisme eksploitasi dan eksekusi tanpa klik.
Serangan tanpa klik 101( Zero click attack)
Prasyarat utama untuk melakukan kompromi tanpa klik yang berhasil adalah potongan data yang dibuat khusus yang dikirim ke perangkat target melalui koneksi nirkabel seperti Wi-Fi, NFC, Bluetooth, GSM, atau LTE.
Ini kemudian memicu kerentanan yang tidak diketahui atau hampir tidak didokumentasikan di tingkat perangkat keras atau perangkat lunak.
Misalnya, kerentanan dapat dieksploitasi saat SoC (system on a chip) memproses informasi yang masuk.
Dalam banyak skenario, data berbahaya melangkah lebih jauh dan menimbulkan kerentanan ketika ditafsirkan oleh aplikasi target tertentu seperti klien email, messenger, layanan panggilan, SMS, atau solusi MMS untuk mengambil bentuk yang dapat dibaca manusia.
Tahap pasca-eksploitasi dimulai saat muatan mengeksekusi perintah yang telah ditentukan sebelumnya.
Yang paling menakutkan adalah bahwa teknik ini tidak bergantung pada satu klik, ketuk, atau klik tautan di ujung pengguna.
Hal ini membuat penyusupan menjadi sangat sulit untuk digagalkan, dan menyalahkan korban yang kurang hati-hati adalah sebuah kesalahan.
Penerima bahkan tidak perlu membuka pesan jebakan dalam banyak kasus.
Jenis data apa yang dapat memicu respons abnormal seperti itu dari perangkat penerima?
Ini bisa berupa serangkaian paket jaringan, permintaan otentikasi, pesan teks, MMS, pesan suara, sesi konferensi video, panggilan telepon, atau pesan yang dikirim melalui Skype, Telegram, WhatsApp, dll.
Semua ini dapat mengeksploitasi kerentanan dalam firmware chip atau dalam kode aplikasi yang bertugas memproses data.
Dari sudut pandang pelaku kejahatan, keunggulan serangan tanpa klik adalah mereka tidak perlu memusatkan upaya mereka pada manipulasi psikologis atau praktik 'semprot dan berdoa' (seperti phishing bertema COVID-19 baru-baru ini) dengan tingkat keberhasilan yang rendah .
Permainan kotor dilakukan secara sembunyi-sembunyi sehingga korban mungkin tidak menyadarinya tanpa batas waktu.
Permukaan serangan yang membingungkan
Salah satu eksploitasi zero-click paling menonjol yang terungkap dalam beberapa tahun terakhir adalah kelemahan WhatsApp yang memungkinkan aktor dunia maya Israel menyimpan spyware ke ponsel cerdas milik aktivis hak asasi manusia.
Digambarkan sebagai "kerentanan buffer overflow di Voice over Internet Protocol (VoIP)," itu akan aktif ketika gadget Android atau iOS target menerima panggilan suara WhatsApp yang diracuni dengan paket data jahat.
Triknya bisa berhasil meski korban tidak mengangkat telepon.
Selanjutnya, panggilan masuk akan dihapus dari log panggilan setelah malware masuk.
Akibatnya, musuh dapat membonceng akses tidak sah untuk mengontrol kamera, mikrofon, pesan, dan log panggilan perangkat serta mengambil data geolokasi.
Tahun lalu, analis keamanan menemukan kelemahan lain yang dapat memicu serangan tanpa klik terhadap berbagai macam laptop, perangkat streaming media, dan ponsel cerdas.
Ini adalah kombinasi dari RCE (eksekusi kode jarak jauh) dan bug penolakan layanan dalam firmware ThreadX yang digunakan pada chipset Wi-Fi Marvell Avastar yang populer.
Pintu belakang akan dibuka secara diam-diam ketika perangkat yang dilengkapi dengan SoC nirkabel yang rentan menjalankan pemindaian untuk jaringan yang tersedia.
Serangan dapat berhasil bahkan jika perangkat tidak terhubung ke jaringan Wi-Fi apa pun dan, yang terpenting, tidak memerlukan detail otentikasi apa pun seperti nama jaringan dan kata sandi login.
Menurut temuan yang diterbitkan oleh analis Project Zero Google pada Agustus 2019, klien iMessage yang terpasang di perangkat iOS rentan terhadap serangan “sepenuhnya jarak jauh”.
Yang diperlukan hanyalah mengirim pesan yang dibuat khusus ke iPhone korban.
Ini akan memunculkan bug iMessage yang menjadi landasan peluncuran untuk beberapa skenario pasca-eksploitasi – baik korban membuka aplikasi atau tidak.
Server akan menanggapi pesan penipuan ini dengan secara otomatis mengirimkan konten SMS dan gambar pengguna kembali ke pelaku ancaman.
Injeksi sembunyi-sembunyi kode berbahaya ke dalam perangkat adalah hasil potensial lainnya.
Jika dipersenjatai, beberapa ketidaksempurnaan ini dapat memengaruhi jutaan pengguna yang tidak curiga.
Meskipun bug ini diperbaiki segera setelah mereka mendapatkan publisitas, fakta bahwa kelemahan serupa terus muncul adalah masalah serius.
Bug
Secara keseluruhan, bug perangkat keras dan perangkat lunak yang digunakan dalam serangan ini luar biasa dan sangat dihargai di kalangan penjahat dunia maya.
Harganya bisa mencapai jutaan dolar. Ini menjelaskan mengapa eksploit semacam itu biasanya merupakan hak prerogatif vendor eksploit dan aktor jahat berprofil tinggi dengan anggaran tak terbatas, seperti kelompok peretas yang didanai pemerintah.
Namun, ini tidak selalu terjadi. Terkadang serangannya tidak terlalu canggih atau 100% berhasil. Kalaupun kurang efektif, penjahat bisa mencobanya lagi jika target tidak menyadarinya.
Pada akhir April 2020, para peneliti di perusahaan keamanan siber ZecOps menemukan tiga kelemahan di aplikasi iOS Mail yang membuat perangkat seluler Apple terkena pencurian data secara sembunyi-sembunyi.
Bug ini telah ada sejak rilis iOS 6 pada tahun 2012. Bahkan versi terbaru, iOS 13, terus rentan.
Pemicunya adalah email aneh yang dikirim ke perangkat. Ini bisa berupa pesan yang sangat besar atau yang membuat RAM padat dengan elemen RTF (Rich Text Format). Tujuannya adalah untuk menyebabkan buffer overflow di klien Mail.
Dengan menjejalkan memori dengan sampah digital sewenang-wenang, pelaku menimpa kode yang sah dengan data yang menyinggung dan memanipulasi aplikasi untuk menjalankannya secara otomatis.
Cacatnya sepele untuk dieksploitasi, dan tidak perlu pelanggar tingkat negara bagian untuk mengatur serangan itu. Penerima tidak perlu membuka email dan kemungkinan tidak akan memperhatikan aktivitas teduh tersebut.
Untungnya, dampak serangan ini diisolasi hanya untuk aplikasi Mail. Hal ini memungkinkan penjahat untuk mencuri, memodifikasi, dan menghapus pesan Anda.
Namun, untuk mendapatkan pijakan di seluruh perangkat, mereka perlu menggabungkan serangan gencar dengan bug tambahan, yang mahal untuk diperoleh dan digunakan.
Bagaimana agar tetap aman?
Sebagian besar serangan gencar ini berfokus pada korban tertentu seperti pejabat pemerintah, eksekutif perusahaan, dan jurnalis.
Namun, siapa pun adalah target. Seperti yang ditunjukkan oleh bug iOS Mail, teknik eksploitasi tidak selalu terbaik dan mahal.
Serangan tanpa klik tidak dapat dilihat dengan mata telanjang, jadi pengguna harus melindungi diri mereka sendiri secara proaktif.
Metode yang paling efektif adalah selalu memperbarui sistem operasi dan perangkat lunak pihak ketiga di perangkat Anda.
Saat vendor belajar tentang kelemahan baru dalam aplikasi mereka, mereka meluncurkan patch untuk mengatasinya.
Saat memasang aplikasi baru, pastikan untuk membaca cetakan kecil dan memeriksa izin yang diminta.
Selain itu, jangan melakukan jailbreak pada perangkat Anda – ini mengurangi efisiensi kontrol dan pembatasan yang ada di dalam firmware.
Mengaktifkan fitur enkripsi asli untuk informasi sensitif akan semakin meningkatkan praktik keamanan Anda, meskipun penting juga untuk mencadangkan data berharga Anda sehingga Anda dapat memulihkannya dalam skenario terburuk.