Serangan Berbasis DNS part II (Fast Flux, Double Flux dan DGA)

Fast Flux

Fast flux adalah teknik DNS yang digunakan oleh penyerang untuk menyembunyikan situs phishing dan malware mereka di balik jaringan yang terus berubah dari host yang dikompromikan bertindak sebagai proxy. Ide dasar di balik fast flux adalah memiliki banyak alamat IP yang terasosisikan dengan nama domain yang sepenuhnya memenuhi legal, di mana alamat IP diubah dengan frekuensi sangat tinggi (biasanya beberapa detik hingga beberapa menit) dengan mengubah catatan record A DNS. TTL untuk setiap resource DNS juga dibuat sangat singkat. Misalnya, korban yang terhubung ke situs web terinfeksi yang sama setiap menit sebenarnya dapat terhubung ke server terinfeksi yang berbeda setiap kali.

Botnet adalah jaringan komputer yang terinfeksi yang dikendalikan oleh software berbahaya. Botnets menggunakan beberapa mekanisme untuk berkomunikasi dengan server CnC pusat seperti DNS, HTTP, HTTPS, IRC, dan sebagainya. Botnets sering menggunakan teknik Fast Flux. Fast Flux memungkinkan botnet untuk memanfaatkan sejumlah pergeseran host yang terinfeksi yang tersembunyi di balik satu domain yang sah.

Botnets juga dapat menggunakan satu atau lebih nama domain diasosiasikan ke banyak alamat IP yang berbeda selama rentang waktu yang singkat. Teknik ini juga dikenal sebagai FFSN. Mencatat DNS berbahaya seringkali lebih sulit daripada alamat IP yang dikompromikan, karena banyak catatan DNS dapat dibuat untuk alamat IP yang sama atau berbeda beda.

Dalam contoh yang ditunjukkan pada gambar di atas, contoh hostname example.com yang sama diubah ke alamat IP yang berbeda beda, karena alamat IP example.com berubah dengan cepat. Karena alamat IP berubah dengan cepat, teknik blacklist tradisional yang menggunakan alamat IP tidak akan efektif. fast flux efektif menyembunyikan server jahat dari deteksi dan sehingga seorang defender tidak dapat menemukan satu titik pun untuk memfokuskan upaya mereka.

Double Flux

Teknik multifaset lain yang digunakan oleh penyerang dimana dengan cepat mengubah baik nama host ke pemetaan alamat IP, dimana juga digunakan oleh nameserver otoritatif menggunakan catatan resource dari  server DNS, yang dikenal sebagai "double IP flux." Dalam contoh yang ditunjukkan pada gambar di atas, ns.example.com adalah salah satu server nama otoritatif yang digunakan untuk domain penyerang, dan alamat IP dari server ns.example.com juga berubah dengan cepat. Double IP flux menambahkan lapisan tambahan untuk membuatnya lebih sulit untuk menentukan sumber serangannya.

Serangan Berbasis DNS (DNS-Based Attack)

Tanpa DNS, Internet tidak akan berfungsi dengan mudah sebagai mana kita gunakan saat ini. DNS memainkan peran penting dalam cybersecurity, karena sebuah server DNS rentan terhadap serangan dan digunakan sebagai vektor yang umum dalam serangan.

Analisis Laporan Keamanan Tahunan Cisco 2016 dari malware yang telah divalidasi sebagai "known bad," menemukan bahwa mayoritas, 91,3%, attacker menggunakan DNS untuk melaksanakan kampanyenya.

Malware memanfaatkan DNS dalam tiga cara berikut:

• Untuk mendapatkan CnC (Command and Control)
• Untuk mengeksfiltrasi data
• Untuk mengarahkan lalu lintas korban (redirect traffic)

CnC adalah komputer yang mengeluarkan arahan ke perangkat digital yang telah terinfeksi rootkit atau jenis malware lainnya, seperti ransomware. Server C & C dapat digunakan untuk membuat jaringan yang kuat dari perangkat yang terinfeksi yang mampu melakukan serangan terdistribusi-of-service (DDoS) terdistribusi, mencuri data, menghapus data atau mengenkripsi data untuk melaksanakan skema pemerasan.

Contoh serangan berbasis DNS yang bagus adalah DNSChanger, Trojan yang mengubah pengaturan DNS pada host yang terinfeksi. Trojan DNSChanger menggantikan nameserver dengan mlikik mereka sendiri untuk mengarahkan web dan permintaan lain dari host yang terinfeksi ke set server yang dikendalikan oleh penyerang yang dapat mencegat, memeriksa, dan memodifikasi lalu lintas host yang terinfeksi. Pada puncaknya, Trojan DNSChanger diperkirakan telah menginfeksi lebih dari 4 juta komputer.

Meskipun para penyerang bergantung pada DNS untuk menyebarkan lebih lanjut kampanye malware, beberapa perusahaan memantau DNS untuk tujuan keamanan. Kurangnya pengawasan ini menjadikan DNS sebagai jalan ideal bagi penyerang. Menurut survei terbaru yang dilakukan oleh Cisco, 68% dari profesional keamanan melaporkan bahwa organisasi mereka tidak memantau aktivitas DNS mereka. Salah satu alasan mengapa organisasi gagal memantau DNS adalah karena tim keamanan dan pakar DNS biasanya bekerja di berbagai grup TI dalam perusahaan dan oleh karena itu tidak memiliki kesempatan untuk sering berinteraksi.

Password Attack (100 Password Terburuk Selama Tahun 2017)

Serangan terhadap password/kata sandi telah menjadi masalah berkelanjutan bagi para Network Security engineers. Setiap tahun SplashData menerbitkan laporan tentang kata sandi yang paling umum digunakan yang bocor secara online. Pada tahun 2017, mereka menganalisis 5 juta kata sandi bocor terutama dari pengguna Amerika Utara dan Eropa Barat, yang terungkap dari kata sandi yang berhasil diretas sepanjang tahun 2017, dan melaporkan 25 teratas. Kata sandi "password" adalah nomor 2 pada daftar. Lima dari 10 teratas adalah urutan numerik yang dimulai dengan 1 dan bervariasi hanya dalam panjang urutan (misalnya, 123456). Lima lagi dari 25 teratas adalah urutan alfa-numerik sederhana (seperti abc123). Ada beberapa kata sandi yang cukup baik, namun masih buruk secara keamanan, seperti trustno1 dan letmein. 11 sisanya adalah kata kamus sederhana, semuanya dalam huruf kecil. 25 kata sandi teratas ini mewakili 2,2% dari 5 juta kata sandi bocor.

25 kata sandi terburuk selama tahun 2017 adalah :

1 - 123456 (ranking tidak berubah sejak 2016) 

2 - password (ranking tidak berubah) 

3 - 12345678 

4 - qwerty 

5 - 12345 

6 - 123456789 

7 - letmein 

8 - 1234567 

9 - football 

10 - iloveyou 

11 - admin

12 - welcome

13 - monkey

14 - login 

15 - abc123 

16 - starwars 

17 - 123123 

18 - dragon 

19 - passw0rd 

20 - master

21 - hello 

22 - freedom 

23 - whatever 

24 - qazwsx 

25 - trustno1 

Untuk daftar lengkap 100 kata sandi terburuk selama 2017 bisa lihat disini.

Analis keamanan harus menyadari metode serangan kata sandi yang berbeda dan menerapkan penanggulangan terhadap serangan kata sandi. Berikut ini adalah beberapa metode yang digunakan penyerang untuk mendapatkan kata sandi pengguna:

Hashing : Mekanisme menjamin integritas data

Hashing adalah mekanisme yang digunakan untuk menjamin integritas dari data. Hashing didasarkan pada fungsi matematika satu arah: fungsi yang relatif mudah dihitung, tetapi sangat sulit untuk dibalik. Menggiling kopi adalah contoh yang baik dari fungsi satu arah: Sangat mudah untuk menggiling biji kopi, tetapi hampir tidak mungkin untuk mengembalikan semua potongan kecil untuk membangun kembali biji asli.

Gambar di atas ini menggambarkan bagaimana hashing dilakukan. Data dengan panjang dan ukuran tertentu merupakan input untuk fungsi hash, dan hasil dari fungsi hash adalah hash dengan panjang yang tetap (fixed length), yang dikenal sebagai "digest" atau "fingerprint" Ketika data yang sama digunakan fungsi algoritma hash sebanyak dua kali , hasilnya akan identik dan menghasilkan nilai hash yang sama. Setiap modifikasi kecil pada data menghasilkan output yang sangat berbeda. Karakteristik ini sering disebut sebagai efek longsoran salju (avalache effect). Data dianggap otentik jika hasil dari hash menghasilkan nilai hash sesuai yang diharapkan. Karena algoritma hash menghasilkan output dengan panjang tetap, ada keterbatasan dari jumlah output. Ada kemungkinan untuk dua input yang berbeda untuk menghasilkan output yang identikyang disebut dengan "hash collision".

Hashing sendiri mirip dengan perhitungan CRC checksum, tetapi jauh lebih kuat secara kriptografi. CRC dirancang untuk mendeteksi kesalahan yang terjadi secara acak dalam data digital di mana algoritma hash dirancang untuk menjamin integritas data bahkan ketika modifikasi data disengaja dengan tujuan untuk mengirimkan data palsu sebagai otentik. Satu perbedaan utama adalah ukuran "digest" yang dihasilkan. Checksum CRC relatif kecil, seringkali 32 bit. Algoritma hash yang umum digunakan menghasilkan "digest" dalam kisaran 128 hingga 512 bit panjangnya. Secara relatif lebih mudah bagi penyerang untuk menemukan dua input dengan nilai-nilai checksum 32-bit yang identik daripada menemukan dua input dengan intestasi identik 128 hingga 512 bit.

Apa itu Digital Signatures (RSA Digital Signature)

Misalkan seorang pelanggan mengirimkan instruksi transaksi melalui email ke seorang broker saham, dan transaksi ternyata sangat buruk bagi pelanggan. Bisa dibayangkan bahwa pelanggan dapat mengklaim tidak pernah mengirim pesanan transaksi atau seseorang memalsukan email. Broker dapat melindungi dirinya sendiri dengan mewajibkan penggunaan tanda tangan digital sebelum menerima instruksi melalui email.

Tanda tangan tulisan tangan telah lama digunakan sebagai bukti kepengarangan (Authorship), atau setidaknya kesepakatan dengan keaslian dari isi dan pemilik dokumen. Tanda tangan digital dapat memberikan fungsi yang sama seperti tanda tangan tulisan tangan, dan banyak lagi.

Gagasan mengenkripsi file dengan kunci pribadi (private key) Anda merupakan awal menuju tanda tangan digital. Siapa pun yang mendekripsi file dengan kunci publik (public key) anda tahu bahwa anda adalah orang yang mengenkripsikannya artinya anda tidak bisa menyangkal bahwa andalah yang membuat dan mengirim (non repudiation). Namun, karena enkripsi asimetris mahal secara komputasi maka menjadi tidak optimal. 

Tanda tangan digital tetap meninggalkan data asli dengan kondisi tidak terenkripsi. Tidak perlu dekripsi mahal untuk hanya membaca dokumen yang ditandatangani. Sebaliknya, tanda tangan digital menggunakan algoritma hash untuk menghasilkan sidik jari yang jauh lebih kecil dari data asli. Sidik jari ini kemudian dienkripsi dengan private key si penandatangan. Dokumen dan tanda tangan dikirim bersama. Tanda tangan digital divalidasi dengan mengambil dokumen dan menjalankannya melalui algoritma hash untuk menghasilkan sidik jarinya. Tanda tangan tersebut kemudian didekripsi dengan public key pengirim. Jika tanda terenkripsi dan kecocokan hash yang dihitung, maka dokumen tersebut identik dengan apa yang semula ditandatangani oleh penandatangan.

Kriptografi asimetris merupakan dasar untuk tanda tangan digital. Algoritma public key seperti RSA menghasilkan dua kunci: satu pribadi (private key) dan kunci publik (public key). kedua kunci tsb secara matematis saling terkait.

Contoh Kasus :

Alice ingin mengirimi email kepada Bob yang berisi informasi penting untuk transaksi saham. Alice ingin memastikan bahwa Bob tahu bahwa pesan itu datang darinya, dan pesan itu tidak berubah setelah dia mengirimnya.

Alice membuat pesan bersama dengan sidik jari pesan (digest). Dia kemudian mengenkripsi digest ini dengan kunci pribadinya seperti yang ditunjukkan pada Gambar 1.

 Alice memaketkan pesan, sidik jari dari pesan yang terenkripsi, dan kunci publiknya bersama-sama untuk membuat dokumen yang ditandatangani. Alice mengirimkan ini ke Bob seperti yang ditunjukkan pada Gambar 2.

Bob menerima pesan itu dan membacanya. Untuk memastikan bahwa pesan itu datang dari Alice, dia menciptakan sidik jari/intisari dari pesan tersebut. Dia mengambil pesan terenkripsi yang diterima dari Alice dan mendekripsi menggunakan kunci publik Alice. Bob membandingkan sidik jari pesan yang diterima dari Alice dengan yang dia hasilkan. Jika mereka cocok, Bob tahu bahwa dia dapat percaya bahwa tidak ada yang merusak pesan seperti yang ditunjukkan pada Gambar 3.

Menambang Monero di SupportXMR.com

MONERO?

Menurut situs Monero: Monero adalah sistem mata uang yang aman (secure), pribadi (private), dan tidak dapat dilacak (untraceable). Monero menggunakan jenis kriptografi khusus untuk memastikan bahwa semua transaksinya 100% tidak dapat dilacak. Bagi yang sudah mengena dunia cryptocurrency tentu tidak asing dengan mata uang yang satu ini, saat ini monero menempati urutan ke 11 berdasarkan kapitalisasi pasar menurut coinmarketcap.com. Harga monero saat ini berkisar pada 288 USD atau sekitar 4 juta rupiah.

Oke.. saya akan berikan tutorial bagaimana cara mendapatkan monero ini dengan metode menambang/mining di pool supportXMR.com menggunakan Claymore GPU miner (AMD) dan XMR-STAK (Nvidia, AMD, CPU).. kenapa claymore? menurut pengalaman saya, hashrate yang dihasilkan software ini lebih tinggi dibanding yang lainnya seperti xmr-stak ataupun xmrig dan juga untuk versi terbarunya yaitu versi 11.3 software miner ini sudah benar benar gratis (tidak ada donasi untuk developer).

1. Membuat wallet monero

Ada beberapa tipe wallet yang bisa anda pilih yaitu jenis wallet offline dan online, pilih saja salah satu:

• Wallet Online : mymonero

Cisco Packet Tracer 7.1.1 Windows & Linux (32-Bit & 64-Bit) Download

Cisco Packet Tracer 7.1.1

The best way to learn about networking is to do it. Cisco Packet Tracer, an innovative network configuration simulation tool, helps you hone your networking configuration skills from your desktop or mobile device. Use Packet Tracer to:

• Sharpen your skills for a job interview
• Prepare for a certification exam
• Practice what you learn in networking courses

Note :

(1) Packet Tracer memerlukan otentikasi untuk membuka fungsionalitas penuh - lihat Gambar 1 di bawah ini. Pengguna yang tidak mengotentikasi dengan login dan kata sandi NetAcad.com mereka tidak akan dapat menyimpan pekerjaan setelah 10 kali pemakaian guest mode - lihat Gambar 2 di bawah ini misalnya pesan yang diterima oleh pengguna tamu/guest mode.
Jadi kalian yang ingin memakai packet tracer versi terbaru ini (7.1.1) pertama tama harus buat akun netacad dan enroll di course "Introduction to Packet Tracer" nya netacad disini.

Image 1: Packet Tracer Authentication with NetAcad.com Login and Password

Image 2 -- Example Packet Tracer Guest User Message -- user is not logged in.

Download

TCP Three Way Handshake : Explained!

TCP Three Way Handshake

Protokol TCP mengharuskan kita membuat terjadinya koneksi diantara dua perangkat  (establish connection) sebelum mereka dapat mengirim data di antara mereka. TCP melakukan ini melalui proses yang dikenal sebagai "Three Way Handshake". Cara kerjanya adalah kita menggunakan bit SYN dan bit ACK di dalam header TCP untuk berkomunikasi antara dua perangkat dalam satu session.

Header TCP sendiri memiliki struktur sebagai berikut :

• Source port: Nomor port sumber (16 bits) yang dihasilkan secara random/dinamis.
• Destination port: Nomor port tujuan (16 bits), sesuai dengan standar dari IANA, terdokumentasi di RFC 1700.
• Sequence number: nomor sebagai tandai dalam sebuah segment , digunakan untuk memastikan data yang dikirim/diterima dalam urutan yang benar (32 bits)
• Acknowledgment number: TCP oktet berikutnya (32 bit). Koneksi TCP adalah koneksi yang andal (reliable). Komputer pengirim dan penerima menggunakan Acknowledgement untuk memastikan bahwa data dikirim dan diterima sebagaimana yang ditentukan dan bahwa data tsb diterima tidak ada kesalahan dan dalam urutan yang benar.
• Header length: nomor dari 32 bit data pada header (4 bits).
• Reserved: Diset 0 (6 bits).
• Control bits: Berisi 9 filed dengan panjang 1 bit disebut dengan flag, flag tsb diantaranya :
• URG: filed yang menyatakan bahwa segment bersifat urgent.
• ACK: Mengindikasikan bahwa segmen merupakan ACK. Semua paket, setelah pakei initial SYN yang dikirim oleh client maka filed ini akan diset aktif (1).
• PSH: Push function. Mendorong data pada media buffer ke aplikasi penerima.
• RST: Reset koneksi.
• SYN: Inisiasi sebuah koneksi. hanya paket pertama pada setiap sesi dengan SYN diset = 1.
• FIN: Menyatakan tidak ada lagi data untuk dikirim (mengakhiri koneksi).
• Window: berisi angka/nomor berapa jumlah data yang diharapkan untuk dikirim (16 bits). Windowing Memungkinkan komputer pengirim mengirim data tanpa menunggu ACK dari penerima, juga berfungsi menjaga kecepatan transfer.
• Checksum: Kalkulasi checksum dari header dan data (16 bits)
• Urgent: Menyatakan akhir data urgent (16 bits)
• Options: Ukuran segemen yang ditentukan saat itu bisa 0 atau 32 bits dan lainnya.
• Data: Berisi data dari protocol diatasnya (Model Referensi OSI ).